100 000 паролей ieee.org целый месяц лежали в открытом доступе

[dzeban]

Самое позорное, что это IEEE.

[ComodoHacker]

Что в этом такого особенного?

[spacediver]

«The world's largest professional association for the advancement of technology» :(

[ComodoHacker]

И?

[spacediver]

[Cetic]

Среди пострадавших — множество сотрудников Apple, Google, IBM, Oracle, Samsung, NASA, Стэнфордского университета и многих других компаний и организаций, входящих в международную ассоциацию IEEE

Казалось бы — сотрудники таких уважаемых компаний должны использовать нормальные, стойкие пароли. В то же время — я посмотрел график с самыми популярными паролями и взял ТОП6: пароли 123456, ieee2012, 12345678, 123456789 и password суммарно использовало 1118 человек!

Румынский хакер, кстати, повел себя адекватно и обнародовал только анализ логов, а не сами логи

[Ockonal]

Это не значит, что сотрудники перечисленных организаций использовали именно эти пароли.

[Cetic]

Действительно, напрямую — нет, не значит. Здесь нет полного списка пострадавших. Сказано лишь, что среди множества пострадавших есть подмножество сотрудников уважаемых организаций и есть подмножество пользователей с, мягко говоря, не стойкими паролями (примерно — каждый сотый пользователь). Я рискнул предположить, что эти подмножества между собой где-то пересекаются.

[rednaxi]

Как я понимаю, это просто пары логин-пароль, взятые из логов веб-сервера. Теперь вопрос — проверялась ли валидность этих пар логин-пароль?

Т.е. кто-то мог просто пытаться подобрать пароль к конкретному аккаунту, и эта, введенная им пар логин-пароль, тоже попадет в логи, и попадет в статистику и т.д.

[Cetic]

Спасибо за комментарий — я об этом не подумал

[spacediver]

Вполне вероятно (не вчитывался), что невалидные пары можно было отсечь по коду ответа сервера.

[Cetic]

Извиняюсь, опечатался — имелось в виду Топ5, а не Топ6

[nerudo]

Люди… Люди никогда не меняются… Почти (ц)

[nerudo]

Было бы смешно, кстати, если бы сперли базу паролейпользователей хабра — увидеть каково количество подобных паролей на данном высокоинформационном ресурсе…

[sledopit]

Давайте запилим голосование. Я прямо так и вижу варианты:
1. 12345
2. qwerty
3. другой (укажу в комментариях)

[leMar]

Я, как тот солдат из анекдота, который матчасть не учил, вообще, свои пароли не знаю :)

[foxmuldercp]

Я свои тоже ни один не знаю. Один пароль и тот, на keepassx базу. остальные я даже и не вижу. точно знаю что один из них по длине меньше чем остальные.

[artemlight]

Топик о пользе хеширования.

[sic]

Да и по хешам бы значительную часть пробили.

Топик о пользе мозга (а был такой?).

[celen]

Если бы кто-то додумался кэшировать пароли на клиента, они бы наверняка их посолили. Либо забота о безопасности есть, либо ее нет.

[ProRunner]

На хабре куча топиков о правильном хэшировании после вот этого появилась: habrahabr.ru/post/145345/ Вы наверное пропустили

[TIgorA]

Только если на стороне клиента.

[Goodkat]

Скорее уж о пользе сгенерированных уникальных паролей, чтобы, даже если рукожопые админы сольют базу паролей, не подвергнуть опасности остальные свои аккаунты.

[L3n1n]

Кто следующий? Instagram? Twitter?

Как вообще такие серьезные проекты хранят пароли в открытом виде?

[rednaxi]

пароли не хранят, хранят логи веб-сервера, в которых содержатся введенные пользователем данные

[L3n1n]

Такие же логи я проверял на валидность тут habrahabr.ru/post/138726/
Примерно 25 000 валидных аккаунтов gmail (пропарсил далеко не всю базу, с прокси были проблемы).
С русскими ящиками вообще смешно. 80% паролей от mail.ru,yandex.ru валидны. И это всего лишь логи веб-сервера…

[gaelpa]

Похоже, что кто-то из разработчиков сделал себе удобный способ просматривать логи по принципу «все равно никто не знает, что они там лежат», но убрать забыл.

[pyatin]

На сайте одного из супермаркетов в открытом доступе лежат резюме людей (с паспортными данными и телефонами).
Как поступить если владельцы сайта не реагируют?

[Goodkat]

Подайте на них в суд: www.spets-proekt.spb.ru/pdn/info/law

[Goodkat]

А можете разместить там своё резюме и стребовать компенсацию морального ущерба.

[Dzen_Marketing]

Я немного не понял.
У них логин+пасс через GET передаётся?

[L3n1n]

С чего вы взяли что логировались только GET?

[Dzen_Marketing]

С того, что логировать POST, как минимум, странно.
Там вполне может быть загрузка файлов, большие текста, etc, и это всё будет попадать в логи и раздувать их

[L3n1n]

Скорее всего там дамп POST запросов как это было с youporn.