Адрес для входа в РФ: exler.world
Что это было?!!
26.01.2021 11:22
27390
Комментарии (76)
Для одного из моих гугловских аккаунтов (я их использую с десяток - для различных технических целей) пришло вот такое письмо.
Я сначала подумал, что это какое-то жулье - ссылка, наверное, ведет на какой-нибудь фишинговый сайт и все такое. Потому что в упор не понятно, что за сохраненные пароли (я в Гугле вроде никакие пароли не сохраняю и не держу), что значит "в результате утечки данных в стороннем сервисе", и почему мне об этом вообще сообщает Гугл?!!
Но ссылка вела действительно на сервисы Гугла - пошел проверять. Пишет, что было похищено 7 паролей. Что значит "похищено", где похищено и что это за пароли вообще?
В итоге показал вот это. Там есть опция в меню "Показать пароль". Для двух первых сайтов показал какую-то полную ерунду - то самое слово "areas", которое я, понятное дело, в качестве пароля нигде никогда не использовал. А для остальных аккаунтов показал древний-древний пароль, который я последний раз использовал, наверное, лет пятнадцать назад.
Так я все хочу понять: что это вообще такое было, Бэрримор? Кто-нибудь может объяснить? Потому что я пока не понимаю совершенно.
Войдите, чтобы оставить комментарий.
Я вот пошел менять все пароли подряд (типа около сотни) заодно поудалять от старых или неиспользуемых сайтов. Так вот все они по уверению гугла были слиты 7 месяцев назад. В том числе и от сайтов, которых уже несколько лет не существует. Сменил пароль от Exler.ru, и минут через десять увидел его снова в списке раскрытых. "Раскрыто 7 минут назад". Какая-то шляпа. Забил на это все дело. Одна польза - реально поудалял старые записи, которые никогда не понадобятся.
Эмм, ну вроде давно уже выскакивает.
Используются данные с haveibeenpwned.com
насколько я понимаю.
То есть все пароли проверяются в базах крупных утечек за последние годы
Используются данные с haveibeenpwned.com
насколько я понимаю.
То есть все пароли проверяются в базах крупных утечек за последние годы
Если и используется, то это точно не единственный маркер. Если пароль совпадает с логином, то он сразу считается раскрытым. Если ввести сочетание логин-пароль на любом http сайте (да, такие всё еще встречаются), то это сохраненное сочетание на всех имеющихся ресурсах автоматом считается раскрытым.
Тут есть несколько вариантов. Самые простые и очевидные:
1. Не обязательно хранить пароли в гугле. В даркнетах довольно регулярно выставляются на продажу базы аккаунтов взломанных сервисов. Поскольку e-mail ваш гугл, очевидно, знает, то достаточно найти его в списке слитых чтобы считать пароль скомпроментированным. Даже если до этого гугл и не подозревал о том, что у вас есть учетка на упомянутом сервисе аккаунте.
2. Если таки логин/пароль от какого-то сервиса хранится в гугло-облаке - когда появляется информация об утечке данных с того или иного сервиса - гуглу достаточно знать о том, что у вас там была учетка, чтобы заявить о ее скомпроментированности.
И заметьте, что на самом деле ни в первом ни во втором случае гуглу не нужно знать ни ваш пароль, ни какой-бы то ни было хэш от него. Если посмотреть, к примеру, на haveibeenpwned.com с которого по сути и началась вся инициатива отслеживания утечек и уведомления пользователей - там пароли ни в каком виде не фигурируют, вся работа ведется по адресам e-mail.
Ну и конечно же, если пароли храните в облаке - есть и более сложные варианты, например когда например гугл знает, что на сервисах А и Б у вас одинаковый пароль, то в случае утечки с А учетка на сервисе Б тоже будет считаться скомпроментированной.
Почему именно сейчас он предупредил о старых учетках? Ну или функционал у них в процессе допиливания или подключили базу утечек которой раньше не пользовались.
1. Не обязательно хранить пароли в гугле. В даркнетах довольно регулярно выставляются на продажу базы аккаунтов взломанных сервисов. Поскольку e-mail ваш гугл, очевидно, знает, то достаточно найти его в списке слитых чтобы считать пароль скомпроментированным. Даже если до этого гугл и не подозревал о том, что у вас есть учетка на упомянутом сервисе аккаунте.
2. Если таки логин/пароль от какого-то сервиса хранится в гугло-облаке - когда появляется информация об утечке данных с того или иного сервиса - гуглу достаточно знать о том, что у вас там была учетка, чтобы заявить о ее скомпроментированности.
И заметьте, что на самом деле ни в первом ни во втором случае гуглу не нужно знать ни ваш пароль, ни какой-бы то ни было хэш от него. Если посмотреть, к примеру, на haveibeenpwned.com с которого по сути и началась вся инициатива отслеживания утечек и уведомления пользователей - там пароли ни в каком виде не фигурируют, вся работа ведется по адресам e-mail.
Ну и конечно же, если пароли храните в облаке - есть и более сложные варианты, например когда например гугл знает, что на сервисах А и Б у вас одинаковый пароль, то в случае утечки с А учетка на сервисе Б тоже будет считаться скомпроментированной.
Почему именно сейчас он предупредил о старых учетках? Ну или функционал у них в процессе допиливания или подключили базу утечек которой раньше не пользовались.
Если посмотреть, к примеру, на haveibeenpwned.com с которого по сути и началась вся инициатива отслеживания утечек и уведомления пользователей - там пароли ни в каком виде не фигурируют, вся работа ведется по адресам e-mail.
То, что на скриншоте - логины на сайтах, а не пароли. Пароли видны, если нажать кнопуху "три точки" справа от пароля.
Я проверил, действительно очень давно такой пароль использовал.
Я проверил, действительно очень давно такой пароль использовал.
Гугл этими сообщениями уже год меня долбает.
Тоже самое и в иос14 с это типа они намекают, что пароль легкозапоминаемый-легкоподбираемый
Можно забить и жить спокойно
Можно забить и жить спокойно
"Found 1,151 security issues" Да ладно, Гугл, а то я не знал...
У меня такие же сообщения в Гугл Хроме все время выскакивают.
Хром устраивает такую истерику каждый раз, когда видит очередную одинаковую комбинацию логина и пароля на новом сайте.
Так я все хочу понять: что это вообще такое было, Бэрримор? Кто-нибудь может объяснить? Потому что я пока не понимаю совершенно.
Гугл находит в похищенных базах паролей действующий почтовый адрес – Гугл на всякий случай уведомляет об этом владельца аккаунта.
Но актуален ли сам пароль в похищенной базе или нет – сие Гуглу (точнее, конкретно этой функции Гугла) не особо ведомо. Его дело лишь предупредить о том, что аккаунт "засвечен" в базах хакеров...
Хэш меняется со сменой пароля. Но Гугл уведомляет даже о старых или даже вообще несуществующих паролях, попавших в "базы". Следовательно, ориентируется Гугл вовсе не на пароли – а реагирует исключительно на "засвеченные" логины, как и писал ранее...
P.S. С точки зрения безопасности это даже более верный шаг. Если бы Гугл уведомлял об утечке только реально актуальных паролей – теоретически можно было бы отследить подобную реакцию системы, и по адресатам подобных сообщений вычислить реально актуальные пароли в базе, вся система была бы скомпрометирована полностью...
P.S. С точки зрения безопасности это даже более верный шаг. Если бы Гугл уведомлял об утечке только реально актуальных паролей – теоретически можно было бы отследить подобную реакцию системы, и по адресатам подобных сообщений вычислить реально актуальные пароли в базе, вся система была бы скомпрометирована полностью...
Это не так. Похоже сравнивают именно хеши паролей. Прочитайте мой ответ geoser.
так и есть. Это не новость, подобные уведомления регулярно получаю уже около года по поводу своих старых аккаунтов, базы с которыми утекли.
Выходит они сами и украли... Но потом президентом стал Байден и Гуглу стало стыдно.
Выходит они сами и украли... Но потом президентом стал Байден и Гуглу стало стыдно.
88 версия Хрома начала автоматически проверять известные ей ваши пароли (сохраненные в Хроме, в андроиде под тем же профилем и тд) на совпадение с известными базами тыренных паролей. У меня например писалось, что была утечка паролей с одного сайта (на котором я был зареген и пароль сохранен в Хроме).
Всё это - сотни форумов и прочей фигни, уже давно умершей и ненужной.
Регистрации в каких-то мёртвых интернет-магазинах, хостингах протухших...
Вычищать лень.
Регистрации в каких-то мёртвых интернет-магазинах, хостингах протухших...
Вычищать лень.
Ну ты, бать... неистовый служитель гугля.
"Ваш пароль был только-что внесен в базу украденных паролей. Пожалуйста смените его".
P. S. "Ночь. В вагонах тускло горят дежурные лампочки. Пассажиры засыпают. Вдруг гаснет свет и кто-то истерически кричит:
- Граждане! Берегите чемоданы! Воруют!! Я уже один украл!!!"
P. S. "Ночь. В вагонах тускло горят дежурные лампочки. Пассажиры засыпают. Вдруг гаснет свет и кто-то истерически кричит:
- Граждане! Берегите чемоданы! Воруют!! Я уже один украл!!!"
Рискну предположить, что причина в коллизиях хэшей. Смысл в том, что хэш это неуникальное значение, и может быть одинаковым для разных строк. С учетом того, что сейчас база утекших паролей огромная, а Гугл проверяет совпадение не самих паролей, а их хэшей, причем, уверен, с разными хэш-алгоритмами, то вероятность совпадения не так уж мала.
Правильно. Но как Алекс писал "я в Гугле вроде никакие пароли не сохраняю и не держу", так что тут похоже именно проверка хешей. Т.е. алгоритм такой:
1) Сравнимаем хеш пароля Гугловской учетной записи с хешами (созданными изпользуя разные алгоритмы) паролей в украденных базах .
2) Если находим, то шлем увемление с информацией о всех найденых username/password на всех сайтах.
Но это мои догадки. Я не в Гугле славу богу работаю.
П.С. Отредактировал. Немножко неточно выразился.
1) Сравнимаем хеш пароля Гугловской учетной записи с хешами (созданными изпользуя разные алгоритмы) паролей в украденных базах .
2) Если находим, то шлем увемление с информацией о всех найденых username/password на всех сайтах.
Но это мои догадки. Я не в Гугле славу богу работаю.
П.С. Отредактировал. Немножко неточно выразился.
Гугл хранит в учетной записи сами сохраненные пароли, никакие не хэши. Иначе бы не работала синхронизация сохраненных паролей между устройствами. Раньше это можно было отключить, сейчас не знаю, давно не смотрел.
Возможно они проверяют хеши, но показывают "украденный" вариант пароля
Гугль проверяет именно пароли, а не хэши, ибо он их показывает в явном виде.
Согласен. Правда вопрос остается показывал он реальный пароль или "эквивалент" по хешу. Если "А для остальных аккаунтов показал древний-древний пароль, который я последний раз использовал, наверное, лет пятнадцать назад." это "exler" то очень вероятно что этот пароль и был "украден" даже если использовал его и кто-то другой.
А вот если у кого-то показывал реальный и сложный пароль которого нет в "украденных" базах, то это уже повод задуматся не сохраняет ли "компания добра" пароли и в открытом виде (так на "всякий случай").
Но вообще это все начинает очень плохо пахнуть.... нововведения хрома.
"If you're signed in to Chrome and have Sync enabled, predictive phishing protection warns you if you enter your Google Account password into a site that we suspect of phishing. This protection has been in place since 2017, and today we’re expanding the feature further.
Now we'll be protecting your Google Account password when you sign in to Chrome, even if Sync is not enabled. In addition, this feature will now work for all the passwords you store in Chrome’s password manager. Hundreds of millions more users will now benefit from the new warnings."
Т.е. Хром сохраняет ваш пароль к учетной записи Гугла (в менеджере или в памяти) даже если вы НЕ давали согласия на сохранения пароля и потом сравнивает не ввели ли вы этот пароль на сомнительном сайте. И теперь не только так проверяет пароль Гугла, но и все пароли сохраненные в менеджере паролей Хрома. Как я понимаю этим "гениям" в Гугл не приходит в голову что пароль для учетной записи сейчас можно украсть на много легче так как он сохраняется (если даже в рамках одной сессии Хрома). Борцы за "безопасность" my ass....
А вот если у кого-то показывал реальный и сложный пароль которого нет в "украденных" базах, то это уже повод задуматся не сохраняет ли "компания добра" пароли и в открытом виде (так на "всякий случай").
Но вообще это все начинает очень плохо пахнуть.... нововведения хрома.
"If you're signed in to Chrome and have Sync enabled, predictive phishing protection warns you if you enter your Google Account password into a site that we suspect of phishing. This protection has been in place since 2017, and today we’re expanding the feature further.
Now we'll be protecting your Google Account password when you sign in to Chrome, even if Sync is not enabled. In addition, this feature will now work for all the passwords you store in Chrome’s password manager. Hundreds of millions more users will now benefit from the new warnings."
Т.е. Хром сохраняет ваш пароль к учетной записи Гугла (в менеджере или в памяти) даже если вы НЕ давали согласия на сохранения пароля и потом сравнивает не ввели ли вы этот пароль на сомнительном сайте. И теперь не только так проверяет пароль Гугла, но и все пароли сохраненные в менеджере паролей Хрома. Как я понимаю этим "гениям" в Гугл не приходит в голову что пароль для учетной записи сейчас можно украсть на много легче так как он сохраняется (если даже в рамках одной сессии Хрома). Борцы за "безопасность" my ass....
Подождите, я главного не понял. Откуда в гугле вообще могут быть мои пароли (хром не использую)?
А Андроид?
Спасибо за линк. Это то, что я вижу:
You haven’t saved any passwords in your Google Account yet. Add saved passwords from Android or Chrome to strengthen your password security. Learn more
Так что моё недоумение только возросло. Откуда там они могут взяться?
И да, очень умиляет "to strengthen your password security" 😄 На самом деле ровно наоборот, но ведь гугл написал, они лучше знают, что надо делать "для нашей же собственной безопасности", суки позорные.
You haven’t saved any passwords in your Google Account yet. Add saved passwords from Android or Chrome to strengthen your password security. Learn more
Так что моё недоумение только возросло. Откуда там они могут взяться?
И да, очень умиляет "to strengthen your password security" 😄 На самом деле ровно наоборот, но ведь гугл написал, они лучше знают, что надо делать "для нашей же собственной безопасности", суки позорные.
Давайте всё-таки проясним. У вас в учётке гугл нет ни одного пароля, так?
Вот тут что вы видите?
passwords.google.com
Вот тут что вы видите?
passwords.google.com
А в андроиде тоже не использую. Есть duckduckgo browser.
Может, конечно же, все third party applications в которых надо регистрироватся дружно между собой договорились и сливают пароли в гугл, но мне это как-то трудно себе представить. Ну парочка из них может быть, но не все же.
Может, конечно же, все third party applications в которых надо регистрироватся дружно между собой договорились и сливают пароли в гугл, но мне это как-то трудно себе представить. Ну парочка из них может быть, но не все же.
А Андроид?
У меня так же. Висит уже с полгода предупреждение, что 13 паролей раскрыты. Особо не парюсь, честно говоря лень менять пароли. Вроде ничего не украли и никого от моего имени на хрен не послали.
Но если вдруг что, имейте ввиду)
Но если вдруг что, имейте ввиду)
У моего маленького сына на детском гугловском аккаунте раскрыт пароль фейсбука, которого у него никогда не было. Я тоже в недоумении.
а вот в последнее время яндекс мне пишет такое.
никаких "симптомов" я не наблюдаю, какой-то антималварей проверял, ничего.
Но яндекс считает, что есть угроза:)
никаких "симптомов" я не наблюдаю, какой-то антималварей проверял, ничего.
Но яндекс считает, что есть угроза:)
У меня больше года висит красная отметка, что кто-то украл мой пароль к 192.168.1.1. Волнуюсь — а вдруг это пароль к еще WiMAX-овской версии роутера Йоты?
так давно надо занести в базу "доверия" и не пользоваться гадостью с подменой сертификатов ( антивирус).
"Чувак!" - говорит мне Касперский - "Ты идёшь по адресу 192.168.1.ХХ, а там просрочен сертификат (iLo от HP), поэтому я тебя туда не пущу! Ради твоей же безопасности, кстати говоря!"
мне вот интересно как убедить хром что для 192.168, 10/8 не надо проверять мои пароли если логин admin ( там где это важно имеем дело с изолированной сетью) стало доставать, но еще не настолько сильно, чтобы искать методы борьбы. Как победить "фингерпринт изменился" для 192.168.1.1 и подобного я уже закостылил.
"Чувак!" - говорит мне Касперский - "Ты идёшь по адресу 192.168.1.ХХ, а там просрочен сертификат (iLo от HP), поэтому я тебя туда не пущу! Ради твоей же безопасности, кстати говоря!"
Гугл вроде сверяет с базой:
haveibeenpwned.com
haveibeenpwned.com
Мы проверяем комбинации имен пользователей и паролей, которые были раскрыты из-за различных утечек данных (но о некоторых из них можем не знать). Вот наш список источников:
000webhost
17 Media
1.4B collection
7k7k
Adobe
Anti-Public
Badoo
Bitly
Collection 1-5
Dropbox
Exploit.in
iMesh
Imgur
Last.fm
Lifeboat
LinkedIn
Mate1
Neopets
NetEase
Nexus Mods
Pemiblanc
R2Games
Rambler
Tianya
Tumblr
VK
VN
Yandex
Youku
Zoosk
000webhost
17 Media
1.4B collection
7k7k
Adobe
Anti-Public
Badoo
Bitly
Collection 1-5
Dropbox
Exploit.in
iMesh
Imgur
Last.fm
Lifeboat
Mate1
Neopets
NetEase
Nexus Mods
Pemiblanc
R2Games
Rambler
Tianya
Tumblr
VK
VN
Yandex
Youku
Zoosk
У меня такое было пару месяцев назад, и время от времени вылезает. Но я как то игнорирую. На паре осмысленных сайтов поменял пароль, а остальное там муть какая то.
У меня в гугле сохранено несколько пар логин/пароль типа admin/123456
По умолчанию от роутеров каких-то. Не помню, зачем и почему они там сохранены.
Но гугл мне регулярно сообщает, что они скомпрометированы и надо бы сменить.
По умолчанию от роутеров каких-то. Не помню, зачем и почему они там сохранены.
Но гугл мне регулярно сообщает, что они скомпрометированы и надо бы сменить.
Смените на 12345678910. 😉
я в Гугле вроде никакие пароли не сохраняю и не держу
После регистрации на каждом новом сайте или если на каком-то сайте, от которого он уже хранит пароль, вводишь новый логин или пароль, не совпадающий с сохраненным. Ещё он предлагает сгенерировать безопасный пароль по регистрации на новом сайте. Хранение паролей можно отключить, тогда он вообще не спрашивает и не хранит.
На каком этапе регистрации?
Очень даже спрашивает.
- Пожалуй, кофе.
- А вот и не угадали! Чай!
Очень даже спрашивает.
К предыдущим комментам я бы добавил, что совпадать могут и не сами пароли, а результат хеширования самим сервисом. Хранить сами пароли мягко говоря моветон. Вероятность совпадений хеша на разных паролях очень низкая, но не нулевая, и на сотнях миллионов кейсов, это случается.
Не только локально, в учетной записи у себя вполне себе хранит
Гугл Хром хранит сами пароли, не хеши, как минимум, локально. Посмотреть все сохраненные пароли для разных сайтов можно в настройках броузера.
Да, но почти нулевая это не нулевая.
Хеш, скорее всего, не от пароля, а от набора сайт+логин+пароль. Вероятность случайного совпадения почти нулевая.
Список источников, по которым google проверяет пароли
Это везде теперь - сервис по проверке скомпрометирован ли пароль в вашей базе данных паролей.
Видимо, что-то гугл хранит все же 😄
В айос "связка ключей" выдает отчет о том, есть ли ваши пароли в некоей "общей базе украденных паролей" и выдает рекомендации по смене пароля.
Видимо, что-то гугл хранит все же 😄
В айос "связка ключей" выдает отчет о том, есть ли ваши пароли в некоей "общей базе украденных паролей" и выдает рекомендации по смене пароля.
google проверяет по известным базам взломанных паролей совпадения с вашими паролями и логинами сохраненными в Chrome. И при совпадениях уведомляет, что пора бы сменить.
значит в вашем случае хром сохраняет только локально
пойдите и посмотрите passwords.google.com
Диспетчер паролей
Ваши пароли не синхронизированы. Чтобы управлять паролями на этой странице, измените настройки синхронизации.
Больше ничего на той страничке нет.
Гугл не знает слова "локально". Локальным может быть только то, что еще по какому-то недоразумению или пользовательскому недосмотру не в облаке. Пользователю надо с этим помочь - во имя его собственной безопасности. И побыстрее.
совпадения с вашими паролями и логинами сохраненными в Chrome
Но с чего он вдруг сейчас-то переполошился?
Старые пароли тоже всплывают иногда. Мне в прошлом году пришел стандартный спам с вымогательством денег, где был написан мой пароль от ВКонтакте многолетней давности, у меня и аккаунта там давно нет, и пароль тот был далеко не последний. Что-то старое утекло.
Значит очень старые пароли где-то сохранились. Я помню, в Хроме была возможность посмотреть список всех паролей. А, и кстати, утилита от NirSoft ChromePass может показать сохранённые на компе хромопароли. Сохранённые в облаке, понятно не покажет, но по идее они должны быть синхронизированы.
А и верно - речь про сохранённые пароли. Значит, где-то в облаке они "зависли".
Да я в браузерах вообще никогда никакие пароли не хранил. Хотя, с другой стороны, может, лет пятнадцать назад пару и сохранил. Но с чего он вдруг сейчас-то переполошился? ?
К паролям, сохранённым в браузерах, это в общем-то не имеет никакого отношения. Есть базы утекших паролей, где либо сам пароль засветился либо кеш. Ну и сработало совпадение.
Поэтому и странно, что Гугл показывает какие-то старые пароли. Может они были раньше в браузере сохранены и где-то еще у Гугла в облаке остались?
Так я написал, что вот эти пароли уже лет 15 как не использую.
К паролям, сохранённым в браузерах, это в общем-то не имеет никакого отношения. Есть базы утекших паролей, где либо сам пароль засветился либо кеш. Ну и сработало совпадение. Откуда гугль взял пароли (или хеши) - это другой вопрос. Мне тоже один раз прилетело, причём база данных утекла из linkedin. Правильное решение - просто сменить пароли (тем более что для профилактики их менять время от времени никак не повредит).
Да базы собрали и решили подкрутить безопасность. Совет один - меняйте если сервис нужен
Да я в браузерах вообще никогда никакие пароли не хранил. Хотя, с другой стороны, может, лет пятнадцать назад пару и сохранил. Но с чего он вдруг сейчас-то переполошился? 😄
Теги
Информация
