Паранойи пост

[vitus_wagner]

http://habrahabr.ru/post/235949/

Говорят у Яндекса увели миллион паролей.

Своего имени/пароля я в опубликованном списке не нашел, но на всякий случай срочно поменял во-первых, пароль на Яндексе (где деньги лежат, хотя и немного), во-вторых ещё в паре мест где у меня еще с тех времен, когда я пароли держал в голове, совпадал с яндексовским.

Теперь будет у меня там пароль, который помнит только keepass.

В общем, пора избавляться от привычки держать запоминаемые пароли везде, кроме тех рабочих мест, на которых запускешь менеджер паролей.

Comments

[division---bell.livejournal.com]

О, это любимое занятие Яндекса: сливать пароли !

Завязал с ним сразу же после того, как в прошлую волну у меня угнали я-кошель в котором лежала тыща на оперативную покупку книжег и оплату тлф

[vitus_wagner]

Так другие-то не лучше. К тому же подозреваю, что в большинстве случаев пароли все же брутфорсят, а не сливают. Слив с публикацией миллиона паролей - явление пока уникальное.

[rositsa.livejournal.com]

Интересно - что это за ресурс?

[vitus_wagner]

Который? Яндекс или Хабр?

Хабр-хабр это такая социальная сеть для айтишников. Поэтому информация на околокомпьютерные темы, всплывающая там, в среднем заслуживает больше доверия, чем в абстрактных блогах и, тем более СМИ.

[kraamis.livejournal.com]

Я больше скажу - пора избавляться от привычки держать пароли где-то кроме черепной коробки.

[vitus_wagner]

Как раз наоборот. Надо избавляться рот привычики держать пароли в черепной коробке.

Потому что способность человека запоминать пароли ограничена.
И если нужно иметь тысячу паролей для 1000 разных сервисов (каждый из которых их будет периодически протаптывать), вы просто не сможете придумать 1000 разных паролей, которые вы все запомните, и будете регулярно придумывать новые и тоже помнить.

Пароль для каждого из сайтов должен быть уникальным, чтобы когда он будет с неизбежностью скомпрометирван, у вас не оказались скомпрометрованными аккаунты на других сайтах.

Вот мне сегодня из-за того, что аккаунт на яндексе я заводил в те времена, когда полагал, что пароли надо держать в черепной коробке, пришлось менять не один пароль, а три.

[bulgurkhan.livejournal.com]

Имею 2 аккаунта на Яндексе( 2001г и 2011г),пользуюсь редко.В сливе про них ничего не обнаружил.

[dikem.livejournal.com]

Если их нет в сливе это не значит что они булетпруф от механизма которым были скомпрометированы остальные.

[eldhenn]

Эээ... это не у яндекса увели. Яндекс-то сам паролей не знает, они криптованные...

[vitus_wagner]

На то есть John The Ripper. Увод хэша пароля существенно облегчает его брутфорс.

[alexkuklin.livejournal.com]

похоже, не у яндекса, а у пользователей.
урожай троянов.

[vitus_wagner]

Кстати, да. Впрочем, пройтись по базе данных keepass и поменять все пароли, которые там встречаются более одного раза, оно полезно в любом случае.

[eldhenn]

У меня левая почта там обнаружилась, настолько левая, что туда писем почти не приходило. Хотя она засвечена в сети в открытом виде.
А вот более основная - в целости, хотя используется значительно чаще, правда, в открытом виде нигде вроде не записана.

[kleo.livejournal.com]

Витус, я не доверяю никаким ки-пассам.
У меня пароли, как правило, 20-значные, они составлены, в различных сочетаниях, из кодовых фраз, известных мне одной.

Конечно, я уже немолода и кое-что могу забыть. Увы, такое пару раз случалось! Но если (и когда) дойду до жизни такой, что все забуду и не вспомню - скажи, разве тогда уж это будет важно для меня?

[vitus_wagner]

А я доверяю. И Брюс Шнайер доверяет. (впрочем он - только собственноручно написанному Password Safe).

[inkelyad.livejournal.com]

А почему за деньги боязно? У яндекса же, кажется, просто по паролю ничего с ними сделать нельзя, кроме как посмотреть, сколько их есть. Все остальное требует дополнительной авторизации.

[vitus_wagner]

Которая состоит из еще одного пароля. Потому что нужен же мне хоть один счет, с которого можно заплатить денег в случае если я забуду дома свой телефон, куда ходят SMS с одноразовыми паролями.

[dikem.livejournal.com]

Свинство конечно. Теперь яндексу надо срочно придумывать механизм чтобы отбиваться от школоты которая полезет в чужие ящики.

[inkelyad.livejournal.com]

Механизм одноразовых паролей давно придуман. Просто у Яндекса по каким-то причинам он не внедряется.

[ignik.livejournal.com]

Насколько я понимаю, не доверять нужно скорее javascript'ам в browser'ах.

[dikem.livejournal.com]

А часом это не зачистка яндексом мертвых душ или какой-другой финт ушами чтоб иметь повод для кардинального закручивания гаек анонимным юзерам?

[vitus_wagner]

Даже если и так, то это хороший повод перестать использовать пароль, совпадающий с яндексовским, в ЖЖ.

[stiv_sigmal]

Кстати, вариант, учитывая, что для яндекс-денег ввели недавно правило, что при неактивности в два года с кошелька начинает взыматься абонплата.

[vmel.livejournal.com]

Прошу пардону за возможную глупость - а где посмотреть, есть ли мой ящик в числе обнесённых?

[stiv_sigmal]

Гугл даёт, например, эту ссылку: https://yadi.sk/i/K7C0pZ7GbCwJ2
Или эту: http://yaslit.ru/

[stiv_sigmal]

Сделайте апдейт, утекло ещё 4 600 000 паролей мыл.ру.
http://habrahabr.ru/post/236077/

[vitus_wagner]

Я как-то очень-очень давно решил что сервисами mail.ru я не пользуюсь. Уж не помню, за что я их невзлюбил. Поэтому, в отличие от яндекса они мне неинтересны.