Рубрика развивается при поддержке
Advertisement

Полупустое множество Статьи редакции

Пользователи «Хабрахабра» проанализировали украденные хакерами пароли Gmail, «Яндекса» и Mail.ru

15 сентября на блогосервисе «Хабрахабр» появился подробный анализ всех баз данных с паролями от почтовых ящиков Gmail, «Яндекса» и Mail.ru, попавших в сеть в начале прошлой недели. 

Авторы публикации попытались разобраться, насколько надёжными были утекшие пароли, есть ли в действиях хакеров признаки фишинговой атаки, и были ли архивы с персональными данными собраны из разных источников в разное время, как утверждают пострадавшие интернет-компании.

Сколько паролей на самом деле было похищено

Выложенные хакерами базы с логинами и паролями кажутся большими лишь на первый взгляд. «Официальное» количество похищенных данных затрагивает почти пять миллионов аккаунтов Gmail, около 1,2 миллиона аккаунтов «Яндекс.Почты» и более 4,5 миллиона ящиков на Mail.ru.

Опубликованная информация отличается сильной «зашумлённостью», отмечают составители отчёта. Во многих электронных адресах и паролях присутствуют пропуски, разделители и другие недопустимые символы. Простая проверка паролей на валидность показывает, что многие из них не подходят к почте, будучи больше или меньше установленных почтовыми сервисами ограничений.

Отдельный анализ паролей из базы Gmail, к примеру, показал, что реально действующим на момент проверки являлся только один процент адресов в архиве. И даже эти ящики были чаще всего заброшены своими создателями и практически не использовались в течение последнего года.

Насколько надёжными были похищенные пароли

Изучив длину всех украденных паролей, пользователи «Хабрахабра» установили: большая их часть содержит в себе меньше восьми символов, что автоматически делает их крайне неустойчивыми для различного вида так называемых «переборных атак».

Составленная авторами таблица надёжности паролей показала, что самые слабые пароли были у пользователей Gmail и «Яндекса» (наибольшие значения по категориям «очень слабый»и «слабый» пароль на второй диаграмме ниже).

Что показала проверка паролей по словарям

Авторы публикации также проверили попавшие в сеть данные с помощью доступных «словарей паролей» (password dictionary), взяв первые несколько словарей, найденных в выдаче Google.

При выборке в 10 тысяч почтовых ящиков в 30 общедоступных словарях удалось найти 13,5 процента паролей Gmail, 13,4 процента паролей «Яндекса» и 9,6 процента паролей Mail.ru.

Что ещё удалось обнаружить в ходе анализа

Большая часть электронных адресов, выложенных хакерами, относились в трём крупным сервисам — Gmail, «Яндекс.Почта» и Mail.ru. Однако в базе можно было обнаружить и значительную долю ящиков, зарегистрированных на Rambler.

В этих и других аккаунтах составители отчёта нашли одинаковый спам, свидетельствовавший о том, что информация о них могла быть получена в ходе фишинговой атаки.

Некоторые адреса, зарегистрированные на почтовом сервисе Mail.ru, привели к страницам с раздачами на различных геймерских форумах, где части обнародованных в начале сентября баз с паролями уже «гуляли» ранее.

Итоги исследования

В результате, заключают авторы, наиболее вероятной является версия о том, что базы с паролями — это всего лишь компиляция данных, полученных из различных источников в различное время. Именно так объяснили утечку информации своих пользователей интернет-компании.

Большая часть опубликованных паролей в целом оказались невалидными, так как не соответствуют даже формальным синтаксическим требованиям, применяемым к таким словам.

Несмотря на повышенное внимание СМИ к опубликованным хакерами архивам, всё это скорее напоминает попытку создания инфоповода, нежели реальную опасную атаку на пользователей электронной почты, говорится в записи на «Хабрахабре».

0
16 комментариев
Популярные
По порядку
Написать комментарий...
Интимный франт

Кстати, вчера выяснил, что у меня по дому ползает крайне стойкий к подбору генератор случайных паролей. Сажаешь за комп и пароль, длиной в 30-50 символов готов. Ни один алгоритм не сравнится к ним

Ответить
19
Развернуть ветку
Интимный франт

9 месяцев на изготовление долговато будет.

Ответить
16
Развернуть ветку

Комментарий удален

Развернуть ветку
Интимный франт

коты прекрасно справляются с этой задачей.
их ждать 9 месяцев не нужно.

Ответить
1
Развернуть ветку
Интимный франт

Вы недооцениваете моего кота. Он может выдавать пароль длиной пропорциональной количеству часов сна на клавиатуре. Энтропия максимальна.

Ответить
3
Развернуть ветку
Интимный франт

Комментарий удален по просьбе пользователя

Ответить
10
Развернуть ветку
Интимный франт
Ответить
7
Развернуть ветку
Интимный франт

- «Скажи пароль и проходи»… А как по-эльфийски будет пароль?
- Der Parol.

Ответить
6
Развернуть ветку
Интимный франт

- Поэтому я приклеела стикер на монитор!

Ответить
0
Развернуть ветку
Интимный франт

пардон, приклеИла

Ответить
1
Развернуть ветку
Интимный франт

Вы не правы. На яндексе валидны пароли <6 символов, если они созданы до введения ограничений

Ответить
1
Развернуть ветку
Интимный франт

Скоро ВК будут взламывать.

Ответить
–4
Развернуть ветку
Интимный франт

слив ящиков Gmail мб и фэйком от самой компании, чтобы больше народу пользовалось двойной аутентификацией

Ответить
–4
Развернуть ветку
Интимный франт

У Яндекса вообще нет этой двойной аутентификации.

Ответить
0
Развернуть ветку

Комментарий удален

Развернуть ветку
Интимный франт

У меня вообще пароли читаются на русском, но пишутся на енглише. Ну и кто теперь оригиналити?

Ответить
–7
Развернуть ветку
Интимный франт

Простая смена раскладки не лучший метод, особенно если пароь - простое слово.

Ответить
4
Развернуть ветку
Интимный франт

 только если раскладка не дворак

Ответить
1
Развернуть ветку
Читать все 16 комментариев
null