Info over de 'hack-zoekmachine' en 'Haveibeenpwned'?

[poor Leno]

Hoi, vandaag zou dan die zoekmachine over de password/account hack komen en dat je dit kan checken op Haveibeenpwned.com..

(Ik geloof dat de lijst alweer offline is btw..)

Maar ik ben best huiverig mbt. mn accounts door zo'n site te halen. Wat gebeurt ermee? Geef je niet hierbij vrijwillig je mail en accountnamen aan een potentiele hacker of bedrijfje dat gehacked kan worden??

Hoe werkt dit precies? En wat gebeurt er met je (mail)zoekopdracht?

thnx!

[QempZoR]

Https://Gotcha.pw
Hier kun je je emailadres checken of je inderdaad gehackt bent.

Wordt inmiddels druk bezocht en is moeilijk te bereiken.

[Voor 48% gewijzigd door QempZoR op 30-03-2018 18:52. Reden: Typos en link]

[poor Leno]

QempZoR schreef op vrijdag 30 maart 2018 @ 18:50:
Https://Gotcha.pw
Hier kun je je emailadres checken of je inderdaad gehackt bent.

Wordt inmiddels druk bezocht en is moeilijk te bereiken.

ja die ja, thnx.

Maar wat gebeurt er nou mee? Is dat niet vragen om moeilijkheden, als iedereen ter wereld zomaar zn mail daar dumpt

PS: als ik hacker was, zou ik ook zo'n site maken

[Voor 6% gewijzigd door poor Leno op 30-03-2018 18:54]

[FreshMaker]

poor Leno schreef op vrijdag 30 maart 2018 @ 18:53:
[...]


ja die ja, thnx.

Maar wat gebeurt er nou mee? Is dat niet vragen om moeilijkheden, als iedereen ter wereld zomaar zn mail daar dumpt

PS: als ik hacker was, zou ik ook zo'n site maken

Je zegt het zelf al.
als ik hacker was, zou ik ook zo'n site maken

Ik zou meer vertrouwen hebben in https://haveibeenpwned.com dan hier in.
Dit is alleen maar trending, omdat de Media 'ineens' wakker geschoten zijn
( in de hoop dat het password van Kitty Courbois écht online zou staan. )

Gewoon een gevalletje van overhyped, een paar dagen fame voor een "hacker"

[Hahn]

poor Leno schreef op vrijdag 30 maart 2018 @ 18:53:
[...]

PS: als ik hacker was, zou ik ook zo'n site maken

En wat heb je dan uiteindelijk? Alleen iemand z'n e-mailadres. Waarvan je verder niks weet.

[poor Leno]

Hahn schreef op vrijdag 30 maart 2018 @ 19:12:
[...]

En wat heb je dan uiteindelijk? Alleen iemand z'n e-mailadres. Waarvan je verder niks weet.

Nee das waar.. maar toch kun je met zo'n site een enorm aantal echte mailadressen verzamelen, waaronder een boel die nog nooit echt gebruikt zijn voor accounts/sites, maar die mensen toch willen checken 'voor het geval dat'.

En vervolgens die lijst verkopen..

[Voor 4% gewijzigd door poor Leno op 30-03-2018 19:14]

[CurtPoindexter]

-

[Voor 100% gewijzigd door CurtPoindexter op 19-10-2019 15:26. Reden: Leeg ivm privacy]

[Hahn]

poor Leno schreef op vrijdag 30 maart 2018 @ 19:14:
[...]


Nee das waar.. maar toch kun je met zo'n site een enorm aantal echte mailadressen verzamelen, waaronder een boel die nog nooit echt gebruikt zijn voor accounts/sites, maar die mensen toch willen checken 'voor het geval dat'.

Waarom zou je een e-mailadres die je nooit voor accounts of sites hebt gebruikt willen checken

En vervolgens die lijst verkopen..

Aan wie? En ook hier: wat kan dat voor kwaad? Het grootste risico dat ik zie is dat je mogelijk spam kunt krijgen.

[poor Leno]

CurtPoindexter schreef op vrijdag 30 maart 2018 @ 19:15:
[...]

Emailadressen zijn een halve cent per 4 miljoen. Als je denkt dat dat nog markt is...

Haha ja weetikveel, ik zit niet in die buisiness

Hahn schreef op vrijdag 30 maart 2018 @ 19:15:
[...]
Waarom zou je een e-mailadres die je nooit voor accounts of sites hebt gebruikt willen checken

Ik heb bijvoorbeeld een paar mailadressen waar ik nooit spam op krijg. Maar die ik wel 1x heb gebruikt voor iets.

Dus in mijn gedachtengang: zodra ik dat adres op zo'n lijst zet, is t hek van de dam..

Maar goed, ik heb hier echt geen verstand van, dus daarom vraag ik het hier

[Voor 48% gewijzigd door poor Leno op 30-03-2018 19:20]

[Itrme]

Hahn schreef op vrijdag 30 maart 2018 @ 19:12:
[...]

En wat heb je dan uiteindelijk? Alleen iemand z'n e-mailadres. Waarvan je verder niks weet.

Je kan ook je passwords checken, al is dat nutteloos omdat ze zelf al aangeven dat je een wachtwoord dat je ingevoerd hebt beter niet kan gebruiken. Ongeacht resultaten van de website.

Overigens is een emailadres vaak ook een gebruikersnaam/login. Dus meer emailadressen weten is wel degelijk handig. Iemand die kwaad in de zin heeft houd daarbij ook vast niet op. Gebruikersnamen etc analyseren op overeenkomsten en je hebt misschien zomaar wat nieuwe combinaties om te proberen. Een van de redenen waarom je dus ook beter geen wachtwoorden dubbel kunt gebruiken.

[Hahn]

Itrme schreef op vrijdag 30 maart 2018 @ 19:18:
[...]

Je kan ook je passwords checken, al is dat nutteloos omdat ze zelf al aangeven dat je een wachtwoord dat je ingevoerd hebt beter niet kan gebruiken. Ongeacht resultaten van de website.

Op een random website je wachtwoord invullen om die te checken is natuurlijk niet heel snugger, maar dat snapt iedereen hier hopelijk wel.

[Itrme]

Hahn schreef op vrijdag 30 maart 2018 @ 19:20:
[...]

Op een random website je wachtwoord invullen om die te checken is natuurlijk niet heel snugger, maar dat snapt iedereen hier hopelijk wel.

Jij snapt dat,
Ik snap dat,
maar er zijn genoeg mensen, die dat niet snappen

[Hahn]

Itrme schreef op vrijdag 30 maart 2018 @ 19:36:
[...]


Jij snapt dat,
Ik snap dat,
maar er zijn genoeg mensen, die dat niet snappen

Maar we zitten op Tweakers, waar enige basiskennis gevraagd wordt. Vandaar dat ik 'iedereen hier' (en 'hopelijk') zei

[Flyingfrisian]

Bij de weg, (hoe) kun je vertrouwen op de beveiliging van grote jongens als Goegel en MikroSoft; die beheren héel wat wachtwoorden, met hún managers..

Wie de schoen past... 😎

[Voor 0% gewijzigd door Flyingfrisian op 30-03-2018 21:03. Reden: Foutje, bedankt]

[Hahn]

Flyingfrisian schreef op vrijdag 30 maart 2018 @ 21:02:
Bij de weg, (hoe) kun je vertrouwen op de de beveiliging van grote jongens als Goegel en MikroSoft; die beheren héel wat wachtwoorden, met hún managers..

Als het goed is beheren ze helemaal geen wachtwoorden, hooguit hashes. En welke managers

Wie de schoen past... 😎

Geen idee wat je hiermee bedoelt.

[FreshMaker]

Het komt toch niet online ... yeah right ....

zijn 15 minutes of fame ... vanavond bij Pauw op de NPO
Allemaal één grote advertentie, kijkcijfers voor Pauw, pageviews voor het AD en hun volgzame cpoy-paste aapjes ...

En dan zit er straks Dianne van Rijbroeck als "hekker"

[johnkeates]

Waarom staat die rommel online? We hebben HIBP al, en dat bestaat redelijk lang.

[Flyingfrisian]

Als leek gereageerd, er van uitgaand dat als een account bij google gehackt zou worden, er dan ook ingelogd kan worden op andere accounts, indien die door Google worden beheerd.
Of wordt 'wachtwoord onthouden' per apparaat (pc, tablet, android) onthouden?

[CurtPoindexter]

-

[Voor 100% gewijzigd door CurtPoindexter op 19-10-2019 15:26. Reden: Leeg ivm privacy]

[Flyingfrisian]

Fijn te weten dat het per apparaat is.
(Met andere accounts bedoelde ik sites waarvan wachtwoorden zijn opgeslagen, op mijn apparaat.)

[CurtPoindexter]

-

[Voor 100% gewijzigd door CurtPoindexter op 19-10-2019 15:26. Reden: Leeg ivm privacy]

[FreshMaker]

CurtPoindexter schreef op zaterdag 31 maart 2018 @ 07:25:
[...]

Daar kunnen ze niet bij.

Als je in je browser het wachtwoord opslaat zodat bijvoorbeeld Firefox het automatisch aanvult, ben je dat wachtwoord niet kwijt als een ander wachtwoord lekt. Deze staan los van elkaar.

Er bestaat zoiets als Firefox Sync maar volgens mij synct die geen wachtwoorden.

Als je in je Google account meerdere accounts hebt ingelogd (dat kan in het menu rechtsboven) dan ben je die andere accounts niet kwijt als je het wachtwoord van één account kwijt raakt. Een hacker zal niet automatisch ingelogd worden op drie of vier accounts.

Dat verandert natuurlijk als al die wachtwoorden hetzelfde zijn of als je echt je emailwachtwoord kwijt bent. Er gebeurt niets automatisch maar het is voor een hacker wel erg makkelijk dan.

Zowel Firefox als Chrome syncen ook de wachtwoorden ( kan je uitschakelen btw, maar is opt-out )
In het geval van Firefox moet je je los aanmelden bij Sync, dus je moet ECHT dat wachtwoord hebben, EN op een 'onbekende' client ( nieuwe PC / Mobile ) moet je toestemming geven om deze toe te voegen aan de sync
( dus ook hier zaak om losse wachtwoorden / inlog te gebruiken )

Chrome is wat minder 'veilig'
Die synchroniseert alles, cookies tot logins, en de beveiliging is de éne keer alleen het herstel-mailadres in te vullen, en de andere keer een popup op een telefoon ( google account )
Maar toegang tot de wachtwoorden daarna is een kwestie van de instellingen openen en het lijstje af te lopen.

Er zijn zelfs api's die het hele lijstje uit FF en Chrome kunnen exporteren ( password managers kunnen dat ook nl. )

Flyingfrisian schreef op vrijdag 30 maart 2018 @ 21:13:
Als leek gereageerd, er van uitgaand dat als een account bij google gehackt zou worden, er dan ook ingelogd kan worden op andere accounts, indien die door Google worden beheerd.
Of wordt 'wachtwoord onthouden' per apparaat (pc, tablet, android) onthouden?

Als jouw Google inlog / ww bekend is, kan een kwaadwillende bij ALLE sites die jij in jouw chrome-lijstje hebt opgeslagen.
Zodra hij toegang heeft tot jouw account, kan hij/zij zelfs jouw telefoon op afstand blokkeren, wissen en zijn 'eigen' apparaat als nieuw en vertrouwd instellen.

Zeker voor Android gebruikers is een Google account erg belangrijk ( net zoals een Apple account dat is voor IOS )

persoonlijk heb ik voor mijn hoofd-google account ( wat OOK mijn Apple account is ) 2FA aanstaan.
Met thuis en op het werk een lijstje met geprinte code's als backup, mocht mijn telefoon verdwijnen.

( stiekem kan je jezelf héél afhankelijk maken van een bedrijf ... mijn telefoon/laptop weg overleef ik wel, maar mijn account zal meer problemen opleveren )
ik realiseer me nu eigenlijk dat ALLE prive (zakelijke) accounts en inlog via één of twee gmail-accounts lopen ...
* FreshMaker gaat ook inventaris opmaken om het wat aan te scherpen ..

[Voor 28% gewijzigd door FreshMaker op 31-03-2018 07:57]

[F_J_K]

Hahn schreef op vrijdag 30 maart 2018 @ 19:12:
En wat heb je dan uiteindelijk? Alleen iemand z'n e-mailadres. Waarvan je verder niks weet.

En de bevestiging dat het een adres is dat 1) daadwerkelijk wordt gebruikt (zodat het 0.0001 cent meer waard is bij verkoop aan spammers) en 2) ook wordt gebruikt voor inloggen. Maar goed, idd niet heel erg spannend tegenwoordig.

Dat gezegd hebbende ga ik echt niet op een random site info invoeren. Dat soort gedrag is nu juist een van de redenen dat dit soort lijsten user/pass bestaan

Haveibeenpwned.com is (voor zover je dat ueberhaupt van iemand met zekerheid kan zegen) wel te vertrouwen, hobby-project van http://rd.microsoft.com/troy.hunt
Daar heb ik mijn werk- en prive-mailadressen wel doorgegeven.

Sites zoals deze maken gebruik van databases die al over het web zwerven. Zie ook plan: Tweakers waarschuwt accounthouders opnieuw voor uitgelekte wachtwoorden
Het bestaan van die DB's maakt duidelijk waarom je voor iedere site een ander wachtwoord wilt - en voor belangrijke inderdaad ook two factor auth.

Edit: huh, ik zie dat mijn password tool wachtwoorden van bijna 550 sites etc. bevat

[Voor 3% gewijzigd door F_J_K op 31-03-2018 09:26]

[valkenier]

Even iets vragen wat vast niet mag. Of de vraag wel, maar het antwoord niet. Heeft iemand de onderliggende database ook gevonden? En zoja waar? Dit soort zaken maken me altijd errug nieuwsgierig.

de modjes zijn alert. zie hieronder. En terecht.

en ik ook, want ik heb hem inmiddels al gevonden.... OMG wat een huge bestand.

[Voor 26% gewijzigd door valkenier op 05-04-2018 21:54]

[iisschots]

valkenier schreef op donderdag 5 april 2018 @ 20:02:
Even iets vragen wat vast niet mag. Of de vraag wel, maar het antwoord niet. Heeft iemand de onderliggende database ook gevonden? En zoja waar? Dit soort zaken maken me altijd errug nieuwsgierig.

Je weet vooraf dat het antwoord op deze vraag hier niet gepost mag worden. Waarom stel je hem dan

[Squ1zZy]

valkenier schreef op donderdag 5 april 2018 @ 20:02:
Even iets vragen wat vast niet mag. Of de vraag wel, maar het antwoord niet. Heeft iemand de onderliggende database ook gevonden? En zoja waar? Dit soort zaken maken me altijd errug nieuwsgierig.

Ik mag vast niet antwoorden, maar het zou kunnen zijn dat met een beetje kennis een DB van 41GB gedownload kan worden waar geen gebruik wordt gemaakt van masking van wachtwoorden ...

[Jaaap]

Beetje slim googlen en je hebt deze dump zo gevonden.
Met struisvogelpolitiek schieten we ook niet veel op.

[iisschots]

Het is altijd het geval dat sommige zaken op het internet te vinden zijn, maar dat we ze niet op Tweakers willen zien. Disscuseren over dit is welkom maar mensen precies vertellen waar de database is of exacte instructies hoe deze te vinden niet.

[SinergyX]

Moet zeggen dat ik die gotcha dan een iets betere insteek vind hebben, daar heb ik nu al 10x meer aan gehad dan heel die lijst op haveibeenpwned, omdat ik vanuit zelfs 2 tekens kan herleiden waar deze accounts mogelijk vandaan komen en zo nodig dus extra acties ondernemen als dit een belangrijker account of inlog is. Zelfs met die lijst van haveibeenpwed (34GB ofzo?) nu 20-30x een hashed wachtwoord te laten zoeken, schiet totaal niet op.

Ik heb nu al diverse dagen meldingen van inlogpogingen op diverse sites en diensten (en inmiddels 3-4 blokkades), geen succesvol, maar je krijgt natuurlijk geen melding dat ze ergens succesvol inloggen. Mij boeit totaal wie er verder staan, mij boeit enkel de bron van het lek.

[valkenier]

Heb nog eens even gezocht naar die database, en hij is niet heel moeilijk te vinden. Je hebt dan de volledige wachtwoorden. en het blijkt bij mij inderdaad om het wachtwoord te gaan, wat ik al dacht. Gelukkig redelijk uniek. Ook nog wat familie-leden op de hoogte kunnen stellen van hun gelekte wachtwoord.

We kunnen er heel spastisch over doen en hier de link niet willen plaatsen, maar eerlijk gezegd is dat net willen doen of het niet bestaat, terwijl het allang overal gelekt is. Maar goed, ik zal hem niet plaatsen.

[Voor 34% gewijzigd door valkenier op 06-04-2018 09:08]

[FastFred]

En nu in het juiste topic

Het management hier heeft de website ook ontdekt en is vragen gaan stellen. Ik heb er eens een paar van onze e-mail domeinen door heen gehaald en daar komen voornamelijk adressen uit van mensen die al een paar jaar uit dienst zijn, allemaal oude data in ons geval dus. Next.

[GiLuX]

waarom die link niet plaatsen?

wil graag mijn wachtwoorden aanpassen maar heb nu niet eens een idee om welke wachtwoorden het gaat.
(zit sinds 1995 op internet ofzo en zal inmiddels bij duizenden sites een account hebben met verschillende wachtwoorden dus wordt beetje lastig raden welke ik moet aanpassen)

via die site kan ik op zijn minst misschien nog achterhalen aan de hand van het wachtwoord welke sites ze vandaan komen.

de evil hackers gaan die link sowieso wel vinden... maar de onwetende weten van niets en zijn daar meer de dupe van lijkt me.

is een gevalletje van overheden die eigenlijk niet willen dat men encryptie gebruikt omdat ze dan kwaadaardige berichten kunnen onderscheppen maar uiteindelijk de criminelen dat toch wel gebruiken (ze hebben immers kak aan de wet) en de ter goeder trouwe burger zijn privacy niet kan waarborgen.

[Voor 11% gewijzigd door GiLuX op 12-04-2018 13:58]

[anandus]

edit:
knip

[Voor 117% gewijzigd door anandus op 12-04-2018 15:28]

[Itrme]

GiLuX schreef op donderdag 12 april 2018 @ 13:54:
waarom die link niet plaatsen?

wil graag mijn wachtwoorden aanpassen maar heb nu niet eens een idee om welke wachtwoorden het gaat.
(zit sinds 1995 op internet ofzo en zal inmiddels bij duizenden sites een account hebben met verschillende wachtwoorden dus wordt beetje lastig raden welke ik moet aanpassen)

via die site kan ik op zijn minst misschien nog achterhalen aan de hand van het wachtwoord welke sites ze vandaan komen.

de evil hackers gaan die link sowieso wel vinden... maar de onwetende weten van niets en zijn daar meer de dupe van lijkt me.

is een gevalletje van overheden die eigenlijk niet willen dat men encryptie gebruikt omdat ze dan kwaadaardige berichten kunnen onderscheppen maar uiteindelijk de criminelen dat toch wel gebruiken (ze hebben immers kak aan de wet) en de ter goeder trouwe burger zijn privacy niet kan waarborgen.

Als je zoveel accounts hebt wordt het misschien eens tijd er een paar te laten verwijderen. Ik kan me niet voorstellen dat je ze allemaal gebruikt.
En helaas, op tweakers wordt er gediscussieerd, maar de link of hulp bij het vinden van wordt niet geplaatst, en heel eerlijk, hulp hierbij is ook echt niet nodig.

Overigens hebben "evil hackers" de database in kwestie waarschijnlijk al een tijdje binnen handbereik. Dat het nu in het nieuws is geweest betekent niet dat de database nu pas bestaat. Die bestaat al een lange tijd en wordt lekker bijgevuld met nieuwe gegevens.

Onwetenden, tja. Eigenlijk zou iedereen verantwoordelijkheid moeten nemen, controleren of zijn email bekend is, en zijn/haar wachtwoord aan moeten passen. Het is genoeg in het nieuws geweest, bijna iedereen heeft er van gehoord. Maar de hoeveelheid mensen die daadwerkelijk actie onderneemt is treurig laag.

Ik weet niet waarom je opeens de overheid er bij haalt op zich best logisch dat ze liever geen encryptie zien, maakt het ze een stuk lastiger mee te lezen inderdaad, maar hetzelfde geld voor je "evil hackers" ook die kunnen minder met versleutelde bestanden, berichten e.d.
De burger kan wel degelijk (meer) zijn privacy waarborgen, als het hem meer interesseert.

[GiLuX]

zie onderstaande reactie, want anders wordt het een zooitje.

[Voor 147% gewijzigd door GiLuX op 12-04-2018 14:47]

[GiLuX]

het gaat me niet om de overheid, het gaat me om de kromme redenering.

dat kwaadwillende wel toegang hebben tot die data en 'slachtoffers' nu niet. dus hebben die slachtoffers ook geen kans om aan de hand van de wachtwoorden te achterhalen welke site ze vandaan komen terwijl de kwaadwillende tijd hebben om iets te proberen met die gegevens (zoals bruteforce elke website binnen te komen met die nu openbare inlog gegevens.)
en 'kwaadwillende' kan vanaf publicatie dus iedereen nu zijn... niet enkel de beruchte hackers.

en dit kunnen ze net zo lang blijven proberen totdat het slachtoffer tenminste ook de mogelijkheid heeft gehad om te zien welke gegevens ze proberen te misbruiken en er een stokje voor kan steken.

en na 23 jaar weet ik onmogelijk meer alle websites waar ik ooit en account heb aangemaakt... en mij dat verwijten doet niets af aan het probleem.

[Voor 12% gewijzigd door GiLuX op 12-04-2018 14:49]