[Tanel]

Hiljuti avastati Tumeveebist andmebaas, mis sisaldas 1,4 miljardi kasutaja infot ja parooli avateksti kujul ehk hõlpsasti loetavana. Andmebaasis leidus ka enam kui 190 000 .ee domeeniga meiliaadressi.

Eestiga seotud meiliaadresside seas on mitmete asutuste ja organisatsioonide ning teenusepakkujate (nt mail.ee) meiliaadresse.

Seda, kas Sinu kasutajainfo sisaldus mõnes lekkinud andmebaasis, saad testida leheküljel HaveIbeenpwned: https://haveibeenpwned.com/

Kui leiad lekkinud andmebaasidest oma meiliaadressi, vaheta parool kohe kõikides keskkondades, kus seda meiliaadressi kasutajatunnusena / sisselogimiseks kasutad!

Andmebaasis Twitteri, Gmaili ja Yahoo kasutajaandmed
Tumeveebi andmebaas sisaldas paljudest andmebaasidest pärit andmeid. Neist 252 andmebaasi lekkimine oli juba varem teada (näiteks keskkondade DropBox,või LinkedIn paroolide leke), kuid nüüd selgus veel 133 uut andmebaasileket, mis polnud seni avalikkuse ette jõudnud.

Kui varasemate lekete puhul on tegemist olnud tavapärase kasutajanime ja parooli nimekirjaga, siis avastatud andmebaas on aga interaktiivne: selles on võimalik teha otsinguid ja kiiresti infot leida.

Kiire otsingu tõttu on näiteks võimalik tuvastada vaid mõne sekundi jooksul, et paroolid “administraator”, “admin” ja “root” on kasutusel 226 631 kontol. Samuti on võimalik andmebaasist näha paroolitrende: milliseid paroole inimesed kasutavad, kuidas nad oma paroole ristkasutavad (ehk kasutavad sama parooli mitmes või igas keskkonnas) ning kohati ka seda, millistel alustel uut parooli luuakse (näiteks järjekorranumber).

Kuigi andmebaasist ei selgu täpselt, millise keskkonna parooliga on tegemist, on teada, et andmebaas sisaldab nii LinkedIni, MySpace’i, Twitteri, Tumbleri, DropBoxi, Bitcoini foorumite, Zomato, Gmaili ja Yahoo lekkinud kasutajainfot.

Kuidas kaitsta oma kasutajakontosid?
Reeglid oma kasutajakontode kaitsmiseks:

vaheta paroole regulaarselt,
paroole ei tohi ristkasutada,
parool peab olema tugev ja meeldejääv, seda ei tohi üles kirjutada ega teistega jagada;
kasuta kahetasemelist autentimist kõikides keskkondades, kus see on võimalik.
Loe lisaks RIA blogist: https://blog.ria.ee/multiautentimisest/.



Eesti kasutajate 20 levinuimat parooli
Andmebaasist selgus, et Eesti kasutajate lekkinud paroolide seas on levinuimad:

[olavsu1]

ehh see sait näitab, et mul on varastatud kontod mida mul ei olegi. toda haisema läinud meili aadressigi pole olemas.

[Tanel]

olavsu1, http://kasulik.delfi.ee/news/kasulikselgitab/cert-i-juht-on-keskkondi-kuhu-luuakse-konto-sinu-meiliaadressiga?id=80503366

[The_Boss]

Eks mul siis paroolivahetuskuu, kuigi juba aastaid teadnud, et mõnes kohas lekkinud Saabki paroolimajanduse korda aetud. Kõige raskem osa on meelde tuletada, kus üldse kasutajaid tehtud on

[sooty]

Sellistele uudistele võiks alati lastpass, 1password jms lingid ka lisada. On suhteliselt lootusetu proovida kõigi erinevate keskkondade paroole eraldi hoida, meeles pidada ja turvaliselt tagavaraks säilitada. 21. sajandil võiks mingisugune (soovitavalt offline) paroolide salv kasutusel olla. 2FA pole ka veatu.

[Dogbert]

Mhh, mõned aastad tagasi keegi kasutas mu vana hot.ee meiliaadressi, mis mul siin on foorumikasutaja meiliaadressiks, mingis tobedas mängukeskkonnas enda meiliaadressina. Vähemalt üritas sellega ennast sinna regada. Mina sain iga kord kirja, kus oli link registreeringu tühistamiseks, konto kustutamiseks. Vist paar kolm korda kustutasin selle konto ära, enne kui see jama lõppes. Mingi laps või poolearuline tõenäoliselt.
Tüüpiliselt ongi vist lapsed selliste asjade taga. Näiteks üritatakse endale e-kooli kontot registreerida mingi lambiaadressiga, mis neile ei kuulu või pole kunagi eksisteerinudki. Ja siis on üllatus, kui selgub, et nii ei saagi, peab registreerimisel kasutatud aadressile saabunud kirjas oleva kinnituslingi avama.
Vist mingid olematu turvaga mängukeskkonnad ongi sellise harjumuse tekkimise taga, et mingit kinnituskirja ei saadeta, saab kohe edasi tegutseda mingi lambiaadressiga registreerides.

[LKits]

Offline paroolihaldur on tänapäeval täitsa vajalik lahendus

Hea lihtne parooli vahetada samuti ning vajadusel saab paroolihalduri faili aeg-ajalt krüpteerida - ID-kaardiga näiteks või kui endal on mingi krüpto meetod. Tavaline 7-zip kokkupakkimine parooliga on ka juba piisav.

[entr0cks]

The_Boss, +1. Paroolihaldur on ka isiklikult kasutuses. Enne avastasin tihti, et email'ga olen juba kasutaja teinud lambil lehel.
Soovitan muidu, kus võimalik kasutada ka erisümboleid (ei kasuta erinevate seadmete tõttu vaid täpitähte ja mõnda keerulisemalt saadavaid sümboleid nagu ^) ja ka tühikut, kui saab.

Nt: "Ostsin Murile 3€ rihma." - jumala hea parool, 23 märki pikk ka veel . Vähe keerulisemaid kasutan, kui halduri kasutamine on tülikam.

[Killer85]

[raxz]

Keychain on Macil päris hea. Paroolid meeles ja igas seadmes ilma kolmanda osapoole tarkvarata.

[LKits]

Suvaline 16+ alphanumeric parool on juba täitsa piisav.
MS Office 365 on üks ainukesi, millega hetkel kokku puutunud, mis piirab maksimaalset tähemärkide arvu (16) - teistel on ~40 kohaline, random generated.
Ning alphanumeric on ka selle poolest hea, et kui vaja ette lugeda või kirjutada, siis ei pea igasugu spetsiaalseid märke vuristama. Androidil on numbrite rida ka olemas klaviatuuril ning üpris lihtne kirjutada, kui tõesti vaja.
Enamuse kohti ikkagist SSO, läbi Google või Facebook-i.

[entr0cks]

[Goon]

sain ka owni. Vana küll, aga vahetetasin paroolid ära

https://www.upload.ee/image/7772054/Screen_Shot_2017-12-15_at_20.26.29.png

[Henry]

Aga mis mõte on registreerida kellegi teise nimekujuga meiliaadress, kuhugi suvalisse kohta, aru ma ei saa!?

[olavsu1]

[Henry]

[ab79]

Mind üllatab, et need paroolide nimekirjad nii lihtsalt avaldati.
Tõestab see vaid ühte: rääkigu hostingu/serveriteenuste/avalike teenuste/tasuliste teenuste/sotsiaalmeediateenuste pakkujad turvalisusest, mida tahavad
tuleb välja, et ,kontoandmete, e-mailidega käib üks suur varjatud äri. Eks inimesed on ka muidugi lambad, kui selliseid paroole kasutavad,
aga mina arvan, et kõige olulisem on tähtsate meiliaadressite mitte kasutamine avalikes teenustes. sots meedia, tumbleri, insta mis iganes platvormil teenuste
kasutamiseks tuleb luua suvaline aadress (paljud meiliteenuspakkujad kontrollivad enne kasutaja või aadressi nimekuju eraldamist selle saadavust, kui juba
on reserveeritud või kasutuses siis palutakse valida uus kombinatsioon). Siis on nii, et kui sul on mingi suva aadress foorumi kontaktiks määratud, siis
juhul kui foorumi (Ma ei räägi HV https:// foorumist vaid muudest tavalisest phpBulletin foorumitest, mille kasutajaandmeid hoitakse tont teab kus mysql andmebaasis).
andmebaas kasutajaandmetega lekib või jalutama läheb, pole kahju. sest aadress on kaaperdaja jaoks kasutu.
Teine asi on inimeste suur rumalus avaldada profiilil avalikult oma igapäevast e-maili ja mobiilinumbrit. kõik see on googeldamise abil netist leitav ja kui
saadakse aru, et konto omanik on reaalne isik, kelle konto on aktiivne võidakse rünnata.
Isiklikult ei kasuta oma ametlikku e-maili tarbijamängu veebides, ei osale isegi küsitlustes ega uuringutes ja ei kasuta ka iseteenindusse sisselogimiseks
sots. meedia kontot. Kokku ca 4-5 meiliaaadressi, millest 2 on iga päevased, üks veebipoodides ostude sooritamiseks, üks niisama jne.
Parooli tuleb vahetada kord kvartalis aga mitte hiljem, kui kord poole aasta jooksul. Kuna ma ka ei salvesta mõningasi paroole, siis lähevad paroolid vahest meelest.
Vahetan ära ja login keskkonnast ka turvaliselt välja. sinna haveIbeenpwned-isse ma mingil juhul oma andmeid ei sisesta, ma ei saa olla kindel, et sinna sisestades mu
meiliaadresx tulevikus kontrollimiseks ei salvestata ja sealtsamast see ka jalutama läheb. Kui konto on kaaperdatud on nagunii hilja, aga selleks et ise olla kindel, ei pea
sooritama päringut. piisab, kui ise regulaarselt paroole vahetada. ükskõik kas kahtled, oled harjunud, tunned ohtu või on otsest põhjust. 100% selline käitumine
kaaperdamist ei välista, aga raskeks teeb küll. Nagu vanasõna ütleb, ära hoia kõiki mune ühes korvis. Nii nagu kehtib see säästude ja finantside kohta nii saab
seda rakendada ka kaasajal ebaturvalises netimaailmas.

[entr0cks]

ab79, mõned aastad olemas olnud see leht.
Infot inimeste kohta saab igalt poolt kätte. See on jah, suur osa rahvast, eelistan ennetavalt laisk olla - ei viitsi pärast tuld kustutada selliste ülelaskmiste tõttu.

Üldiselt mind pole tülitatud või harva blokeerin/unsubscribe'n, kui midagi ei meeldi. Kui kellelgi on kahtlust minu poolt saadetud asja kohta (seni pole olnud), helistagu mulle või saatku vastus. Isiklikult pole enda isikliku info jagamise kohta midagi, kui keegi suudab seda kuri tarvitada, siis leian, et süsteem pole küllalt hea. Social engineering etc. Nagu on kahe astmeliste tuvastustega (forgot password) probleeme aja jooksul olnud.

@hot.ee - väiksena tehtud, hüljatud, spämmi maetud - see oli lihtsalt porno.
@gmail - tähtsamad teenused, teiste aadressite suunamise punkt. Mobla ja plugin teavitavad kiiresti.
@hotmail - suvalised teenused, foorumid, mängu teemad (steam, origin ...) jne. Vaatan kord päevas või mõne päeva tagant. Ainuke aadress, mis seal lehel on "pwned" olnud paar aastat tagasi: Adobe, mängu, webhosti ja mingi muu jura asjus.
@eesti.ee (mis on kõigil) tähtsamate asjade jaoks (suunatud) -> gmail.
@omad teenused/koolid/töö ... suunatud -> gmail

// imelik kirjutada sellist asja, ehk huvitav kellelegi - analüüs

[olavsu1]

[D3ff]

Juhtum: Edmodo keskkonda on profiil loodud Google'i kontoga autentides. Sisestades sinna häkkimiskontrolli veebilehele konto loomiseks kasutatud Google'i konto aadressi, saan vastuseks, et Edmodo puhul on andmed lekitatud. Kas lekkinud on Google'i konto andmed või siis see info, mida Edmodo teab? Eeldan ise, et Edmodo teab vaid seda, et login Google'i kontoga, Google'i konto parooli ju Edmodo kätte ei saa ja seega ei saa vähemalt Edmodo kaudu lekkida? Olen oma arutelu ja arusaamisega olukorrast õigel teel?

[NightStriker]

[arny]

tundub nagu kellelgi on vaja teada millised emailid on kasutus ja millisel ip aadressil jne. Teha lehekülg mis kogub sellist infot ja siis lasta meediasse, et kontrollige, et äkki olete häkitud ja iga sisestatud meili aadressi peale kogud infot kust info sisestati jne. Selline you have won meili teema nagu.

[entr0cks]

Tuletab selliseid asju meelde

Spoiler

Link

^ DEFCON video - proxy serveriga huumorit.

[JannoT]

[Tanel]

JannoT, linkida võib alati.