Крупнейшая утечка данных в истории, пора менять все пароли (или не пора?)

[Shredder]

Что думаете?

455 миллионов паролей россиян (включая Госуслуги) оказались в руках мошенников

[Татьяна5]

Думаю - поменять несложно

[Siava]

Что думаете?

А причём тут Дуров и госуслуги?

Скрытый текст

Автор того ютуб-канала похоже вещает из дурки одно видео хлеще другого.

Вот как бы один из источников новостей про утечку нескольких млрд. учёток.
https://cybernews.com/security/billions ... data-leak/

[rxu]

Даже в phpBB пароли не хранятся в открытом виде. На Госуслуги без кода подтверждения не зайдешь, а при подозрительной активности блокируют учетку на 3 суток. В других системах давно есть двухфакторное подтверждение (например, кодом через отдельное приложение аутентификатора).

Так что, думаю, важность новости автором ролика сильно преувеличена. Просто пытается увеличить просмотры.

[rxu]

В ту же тему, в принципе, согласен с автором: Взлом Google и других компаний, миллиарды записей. Утечка, которой нет.

[Shredder]

В чём там суть? Что взлома не было, а это утка от самих компаний или "кибер"-изданий с какой-то целью? Как минимум, может преувеличили, думал об этом сразу же. К примеру, чтобы сливали им всевозможные данные, подключая доп. аутентификации, включая "аутентификации по лицу", отпечаткам пальцев и прочему, кто ещё этого не сделал или просто давно не "подтверждал" телефон. Но увели именно твой пароль или нет, со 100% достоверностью никак не проверить. Код крупных корпораций - это вообще коммерческая тайна, там теоретически любым способом может "утечь", хоть через баг. Когда смотришь, насколько криво написаны многие из их сервисов и эти баги не правят годами, то такому не удивишься. К тому же наивно полагать, что те, у кого "всё в руках", пришлют вам уведомления о каких-то утечках, тем более, когда данные сливают сами же сотрудники (обиженные, уволенные и т.д.), и это портит "репутацию" компаний. Может, пришлют, когда уже будет "вход" от злоумышленника, но не ранее.

«Всё же исследователи обновили изначальную статью и добавили скриншоты пруфов»
«Также исследователи добавляют, что в утечке были обнаружены сессионные куки и токены, что позволит вредоносным акторам зайти в аккаунт в обход пароля »
- пишет https://habr.com/en/news/920080/

Отправлено спустя 12 минут 55 секунд:
В копилку:

ИИ может взломать большинство распространённых паролей менее чем за минуту

ИИ научился взламывать пароли с помощью звука клавиатуры
«ИИ теперь может украсть ваши пароли почти со 100% точностью — и ему для этого не нужно никаких специальных инструментов. Достаточно послушать вас, пока вы сидите в Skype или Discord.»

Это только из того, что сразу всплыло, и новостям много лет уже.

[rxu]

ИИ может взломать большинство распространённых паролей менее чем за минуту

Это теоретизация, не связанная с практикой. Миллиард паролей потребует миллиард минут. Или потребуется миллиард экземпляров ИИ, чтобы взломать миллиард паролей за минуту.
Никто этим заниматься не будет. Усилия имеют смысл, если взлом какого-то персонального аккаунта (или нескольких десятков/сотен важных кому-то аккаунтов) является целью. Никому не нужно взламывать миллиард никому не нужных аккаунтов, это очень дорого и очень бессмысленно.

обнаружены сессионные куки и токены, что позволит вредоносным акторам зайти в аккаунт в обход пароля

Пугалка для непосвященных. Неужто системы безопасности крупнейших корпораций отстают от таковых в phpBB, где как минимум есть длительность сессии, по истечению которой никакие куки и токены не помогут зайти в аккаунт. Может быть, их алгоритмы неидеальны и забагованы, но там не полные идиоты сидят, наверное.

ИИ научился взламывать пароли с помощью звука клавиатуры

Возможно. Но для этого вы должны запустить такой ИИ у себя на ПК и дать ему доступ в микрофон (если он вообще есть). С другой стороны, зачем тогда ему слушать звук, если он может просто считывать нажатия клавиатуры через систему В общем, данная теория заговора трещит по всем швам.

[Perfecthus]

Ржачная тема!

[Shredder]

Про ИИ - спорить не буду. Я программировал лишь ИИ для игр, нейросетями не занимался. Поживём - увидим) А вот насчёт доверия компаниям - тут 100% нет. Речь ведь не про то, что у них алгоритмы плохие, а про то, что они в принципе не созданы для простых людей.

Эт как в той статье - разоблачают канадских операторов связи, а дальше по тексту внушают святое доверие к фейсбукам, гуглам и т.д. Видимо, у её автора нет критического мышления

А слушать вас может всё, что угодно: Яндекс и Алиса следят за нами, включая всеми любимые смартфоны. Там если отключаешь стучалки, они "магическим" образом включаются снова любым доступным способом, скажем при любом обновлении. Как и Windows 10 (в меньшей степени более ранние версии) - это всё хорошо отлаженные механизмы для получения о вас всей возможной информации.

Проверено в том числе и моими знакомыми, включая научных сотрудников. Стоит что-либо сказать при каком-либо включённом "умном" приборе, как почти тут же получаешь рекламу на эту тему. ДАЖЕ если ты говорил о чём-то специфическом и мало распространённом. Это вообще любой может проверить, достаточно просто наблюдать. Весь инет завален комментариями и историями людей про это. А сейчас вообще массово начали появляться комментарии, мол "только ПОДУМАЛ о чём-то, и уже на данную тему выскакивает реклама". Что называется, хотите верьте, хотите проверьте Версия о том, что ИИ стали "настолько умными", что могут предсказывать даже мысли и поступки каждого отдельного человека, на мой взгляд несостоятельна. Официальный ИИ слишком маломощный для этого. Если бы он имел подобную мощность, то уж "большинство паролей взломать за минуту" было бы для него раз плюнуть.

ShadowGate - документальный фильм 2020

ShadowGate - Фильм о современных методах ведения информационной войны: тотальной слежке за людьми в соц­сетях, управлении об­щественным мнением через контроль сознан­ия посредством интернета, создании компром­ата на неугодных сис­теме людей, разжигании конфликтов и множест­ве других грязных пр­иёмов. Рассказ ведут сами бывшие работники пропагандистских структур.

Социальная дилемма (2020)

Бывшие сотрудники Google, YouTube и многих других IT-гигантов рассказывают о своих разработках для компаний, почему они уволились, и о том, как разработанные ими алгоритмы используются для перепрограммирования жизни людей. Многие думают, что алгоритмы созданы для того, чтобы "продавать вам рекламу". Но истина гораздо глубже. Товар - это вы сами.

Отправлено спустя 1 час 29 минут 27 секунд:
Как это работает в России: Что такое СОРМ. Как тебя слушают. Как видите, всё вполне открыто и законно, никаких "теорий".

Разумеется, этот чел объясняет систему, и потом где-то с 16 минуты пускает пыль в глаза: мол, можно защититься какими-то VPN или (о, боги..) telegram... Для того он туда и поставлен: Обозначить хомякам ловушку и направить в следующую. Чтобы спокойно спали и сильно не брыкались.
Хотя лично мне это понятно с 1-й же минуты...

"Зашифрованный" якобы VPN траффик легко расшифровать.
Или вот - Изъяты серверы и получен закрытый ключ Windscribe VPN. Откуда вам знать, что на используемых вами VPN данные никем не изъяты и не получены? А если этот VPN изначально запущен "вежливыми людьми" и работает, чтобы создавать мнимую видимость безопасности?..

Масштабы глобальной слежки. Что такое СОРМ: виды и возможности.

Скрытый текст

Привет, друг. Наверняка ты слышал про такую штуку, как СОРМ. В этой статье, я подробно расскажу тебе, что это такое и как работает.

СОРМ (сокр. от Система технических средств для обеспечения функций оперативно-рoзыскных мероприятий) — комплекс технических средств и мер, предназначенных для проведения оперативно-розыскных мероприятий в сетях телефонной, подвижной и беспроводной связи и радиосвязи (согласно Закону «О связи» и приказу Министерства связи № 2339 от 9 августа 2000 г.



СОРМ включает в себя три компонента:

– Аппаратно-программная часть (устанавливается у оператора связи);
– Удаленный пункт управления (устанавливается у правоохранительных органов);
– Канал(ы) передачи данных (обеспечивается провайдером для установки связи с пунктом удаленного управления).

Если в качестве примера рассматривать интернет-провайдера, то работа системы выглядит следующем образом. У провайдера устанавливается специальное устройство. Это устройство подключается непосредственно к интернет-каналу, а оборудование провайдера для организации доступа в интернет подключается уже к оборудованию СОРМ. В результате получается, что весь входящий и исходящий трафик будет проходить через спец-устройство, а значит, в случае необходимости сможет быть перехвачен правоохранительными органами.


СОРМ имеет несколько поколений:

– СОРМ – 1 это слежение за аналоговой связью, телефонными переговорами.
– СОРМ – 2 создан для прослушивания мобильной связи и основное это конечно контроль Интернета.
– СОРМ – 3 новейший вариант, обеспечивает объединение всех вышеуказанных систем и дополнительно контролирует часть VPN серверов, прослушивает в прямом эфире Skype, ICQ, спутниковую связь и ряд других нововведений. Но ключевой фактор СОРМ 3 – это единая глобальная база данных которая взаимно связанна с различными направлениями СОРМ.

Слежка – хотя это и не главная функция СОРМ, главная функция СОРМ это глобальный контроль трафика в масштабах страны, подобные СОРМ системы есть и в других странах.

СОРМ стоит во всех дата центрах страны, у всех провайдеров разных уровней, в точках коммуникации трафика, на всех крупнейших поисковиках, на всех крупнейших социальных проектах (а-ля одноклассники).

Более того СОРМ (не система конечно, сотрудники) очень активно взаимодействуют с программистами которые пишут системы коммуникации (IP-телефония, мессенджеры и т. п.) или грубо говоря они способствуют внедрению закладок (бэкдоров) в эти программы чтобы иметь возможность прослушивания.

Третий элемент системы – обязательная сертификация криптографическихпрограмм и устройств, то есть вам не разрешат торговать и разрабатывать криптопрограммы или криптографические устройства, или протоколы, все их ты должен сертифицировать. Не должен понять как важно использовать для обеспечения безопасности программы с открытыми исходными кодами, особенно в сфере связи икриптографии.
Что такое глобальный наблюдатель?

Глобальным наблюдателем может называться такой наблюдатель, который имеет доступ к интернет траффику на всем протяжении цепи. Представь что CОРМ, PRISM,Xkeyscore, Tempora и другие объединились в одну организацию. Таким образом появляется возможность наблюдать за зашифрованном трафиком на всех уровнях сетевого траффика. Даже Tor не способен устоять перед глобальным наблюдателем, поскольку изначально не проектировался под данные задачи.


Но я использую Double > Triple > Quad VPN.

В данном случае тебе это также ничем не поможет. Во-первых некоторые из VPN-провайдеров в цепочке будут изначально выдавать все твои логи подключений гос-службам. Долго ты пробегаешь с такой защитой?


Но представим что ты используешь связку из VPN и при этом ни один из серверов не выдал твои данные. У СОРМ опять есть твоя точка входа в интернет. А также количество переданных пакетов и время подключения. и разница с первым случаем лишь в том, что у тебя будет чуточку больше времени. На практике же сделается запрос к выходному VPN-провайдеру с требованием выдать данные. Он их благополучно выдаст и СОРМ сможет тебя отследить даже в том случае, если у него нет доступа к первому VPN-серверу. Теперь же имеется количество переданных пакетов из РФ по картографии СОРМ и количество и время пакетов которые прибыли на выходной VPN-сервер. Проходит некоторое время и вашу дверь разносят в щепки – “казаки разбойники.”


Третий пример: имеется злоумышленник, который для связи использует XMPPпротокол с шифрованием и подключением через сеть Tor. Однако разматывать всю луковичную цепочку ip адресов слишком трудно имея на руках только выходной ip адрес сети TOR. У госструктур имеется к примеру твой jabber аккаунт, который ты светил для связи на форумах и предположительная страна обитания к примеру РФ. Они входят в твой круг доверенных лиц и добавляются в контакты, таким образом они имеют возможность постоянно наблюдать когда ты появляешься в сети и когда отсутствуешь. К примеру 20.12.2018 в 21:56 подключился, а 20.12.2018 в 22:15 ты отключился. В течении некоторого времени отслеживается лог твоих посещений мессенджера и дается команда оператору СОРМ.

Найти человека который в определенное время запускал TOR для сокрытия траффика. Как думаешь, много окажется совпадений на просторах РФ? Ответ -нет, с огромной долей вероятности определят именно тебя!

И это я не говорю сейчас о том что промежуточные узлы сети Tor как и выходные ноды могут оказаться негодяйскими….

Как известно технология ТОR пропускает трафик через 3 узла. Два промежуточных на которых данные проскакивают в зашифрованном виде и выходная нода на которой весь траффик расшифровывается и передается получателю. Именно поэтому часто после сетиТор советуют использовать VPN-сервер, который будет устранять недостатки выходной ноды. То есть дополнительно шифровать весь трафик.

В общем моё мнение: избежать слежки на данном этапе развития в принципе невозможно. Хоть за нажатием клавиш, хоть за чем угодно. Или, как минимум, это чрезвычайно тяжело и доступно лишь единицам. Но если будет очень надо, то и их вычислят.

Отправлено спустя 8 минут 53 секунды:
Российские спецслужбы смогут выявлять пользователей VPN. В чём суть инициативы

Минцифры предложило расширить перечень сведений, которые владельцы сайтов передают силовым структурам. В список хотят включить данные о сетевом порте. Проект постановления Правительства проходит общественное обсуждение до 23 мая 2024 года.

Какие данные уже передаются

По закону ресурсы, которые позволяют людям обмениваться данными (сервисы такси, соцсети, форумы и т. д.), должны хранить и передавать в ФСБ и другие компетентные структуры следующие данные о пользователе:

– IP-адрес;
– регистрационные данные;
– сведения о фактах авторизации;
– информацию об изменении номера телефона или электронной почты, указанных при регистрации;
– голосовые и текстовые сообщения (в течение года);
– аудио и видео (в течение года);
– данные о геолокации;
– данные о средствах платежа.

Зачем нужны новые данные

Согласно пояснительной записке к проекту, зная номер сетевого порта, силовые структуры смогут находить конкретных пользователей, размещающих незаконную информацию в интернете. Дело в том, что даже при наличии IP-адреса сложно определить, кому он принадлежит, если человек использовал VPN и прокси-серверы.

Телеком-эксперт Максим Корниенко отметил в беседе с изданием, что найти кого-то конкретного для силовиков и сейчас не проблема. А имея номер сетевого порта, они смогут лучше сортировать трафик. В том, что у спецслужб есть способы находить интернет-пользователей, уверен и ведущий аналитик Mobile Research Group Эльдар Муртазин. Но дополнительные данные позволят видеть, кто именно пользуется VPN-сервисами, отметил эксперт.

[rxu]

Shredder, сменили тему. Начали про утечку паролей, закончили про слежку. С последним никто и не спорил.