23. ledna 2019

Včera jsem hledal české weby v databázi „Collection #1“ a dalších („Collection #2“ až „Collection #5“, „BigDB“), dnes jsem se podíval na ty slovenské. Některé slovenské stránky používají i čeští uživatelé a tak mi to přišlo jako dobrý nápad.

O databázi úniků s názvem „BigDB“ a dalších píšu v předchozím článku, pokud chcete úvod prosím přečtěte si jej, já počkám. Seznam českých webů najdete tamtéž.

Jen pro zopakování: u každého webu uvádím způsob uložení hesel, resp. tak jak byla v „BigDB“ zveřejněna, a počet záznamů. Pokud daný web používal nějaké „nečitelné“ uložení hesel, tak přidám i informaci o tom, kolik cracknutých hesel v čitelné podobě z toho konkrétního webu databáze obsahuje. Zcela jistě by za pár peněz (a hodin) šlo cracknout mnohem více hesel, ale to jsem tentokrát, až na výjimky, nezkoušel. Podívejte se na článek o lámání hesel pokud vás zajímá, jak se to dnes dělá a kolik to stojí.

Spousta těch webů totiž bohužel používá (nebo používala v době možného úniku) velmi nevhodné ukládání hesel, pokud to děláte podobně, tak to prosím změňte. Jak na to se dozvíte v mém návodu.

Prosím, mějte také na paměti, že záznam v „BigDB“ neznamená, že data z daného webu opravdu unikla, v naprosté většině to jsou (zatím) nepotvrzené úniky.

Seznam slovenských webů v kompilacích

  1. bozpo.sk: 4565 záznamů, plaintext
  2. bridgekosice.sk: 2360 záznamů, bcrypt+MD5(?), 0 čitelných hesel (pouze jediný účet používá bcrypt hash, žádný z účtů s MD5 nemá e-mail s koncovkou .sk)
  3. cykloabc.sk: 2111 záznamů, plaintext (1835 hesel je nejspíš náhodně vygenerovaných s délkou 8 znaků)
  4. djservice.sk: 2446 záznamů, plaintext (v databázi též jako dj-service.sk, djshop.sk, dj-shop.sk s převážně shodnými daty)
  5. evillabs.sk: 48816 záznamů, DES crypt(), 0 čitelných hesel
  6. gustokids.sk: 1015 záznamů, plaintext
  7. i-shops.sk: 3048 záznamů, plaintext
  8. joico.sk: 793 záznamů, plaintext (167× heslo „9Qfeus8v4U“)
  9. kassotechnik.sk: 861 záznamů, plaintext
  10. kolesa.sk: 2501 záznamů, plaintext
  11. levican.sk: 5651 záznamů, MD5, 0 čitelných hesel
  12. lutov.sk: 1118 záznamů, MD5, 796 čitelných hesel (103× heslo „x4ivygA51F“)
  13. mata.skiper.sk: 1400 záznamů, plaintext
  14. mojobraz.sk: 3092 záznamů, plaintext
  15. mydream.sk: 5924 záznamů, plaintext
  16. papanica.sk: 5550 záznamů, MD5+SHA-1(?), 1731 čitelných hesel (30× heslo „veslo321“)
  17. polymer.sav.sk: 2774 záznamů, Salted MD5, 0 čitelných hesel (1877 účtů má náhodné emailové adresy na doméně dendride.ru)
  18. predporodnapri­prava.sk: 989 záznamů, MD5, 955 čitelných hesel
  19. referaty.hladas­.sk: 1006 záznamů, MD5, 1004 čitelných he­sel
  20. risopepi.sk: 662 záznamů, MD5(?), 0 čitelných hesel
  21. rooftop.sk: 9250 záznamů, MD5, 6935 čitelných he­sel
  22. rs-tuning.sk: 6143 záznamů, MD5, 3828 čitelných he­sel
  23. sktorrent.eu: 118588 záznamů, plaintext (mediálně známý únik z roku 2016)
  24. songster.sk: 5218 záznamů, MD5, 0 čitelných hesel
  25. superceny4u.sk: 498 záznamů, plaintext (298 účtů nemá heslo)
  26. tombraider.sk: 4683 záznamů, MD5(?), 0 čitelných hesel
  27. vupas.sk: 1115 záznamů, plaintext
  28. woodresearch.sk: 2090 záznamů, plaintext (až na pár výjimek jsou hesla generovaná s délkou 8 znaků)

V „BigDB“ je celkem 165 tisíc hesel v čitelné podobě, která pochází ze slovenských webů. Pokud se vám zdá, že z některého webu uniklo víc účtů, než kolik jich ve skutečnosti může mít, tak je to nejspíš proto, že kvůli sdíleným přihlašovacím údajům k databázi se podařilo jednou dírou vytáhnout data z více služeb.

Analýza všech hesel

Když na všechna hesla pustíme analyzátor hesel Pipal, tak dostaneme tyto výsledky:

  • Celkový počet hesel: 164 948
  • Celkový počet unikátních hesel: 133 122
  • Nejčastější hesla:
    1. 123456 = 941 (0,57%)
    2. FuckYou = 865 (0,52%, nejčastější heslo v úniku z SkTorrentu)
    3. 123456789 = 729 (0,44%)
    4. hesloveslo456 = 397 (0,24%)
    5. x4ivygA51F = 348 (0,21%)
  • Nejčastější základní slova:
    1. fuckyou = 876 (0,53%)
    2. heslo = 477 (0,29%)
    3. hesloveslo = 405 (0,25%)
    4. martin = 350 (0,21%)
    5. x4ivyga51f = 348 (0,21%)
  • Délka hesel podle četnosti:
    1. 8 = 35 052 (21,25%)
    2. 10 = 30 323 (18,38%)
    3. 6 = 20 773 (12,59%)
    4. 9 = 20 392 (12,36%)
    5. 7 = 17 270 (10,47%)
  • Hesla složená pouze z malých písmen: 48 583 (29,45%)
  • Pouze z velkých písmen: 1 061 (0,64%)
  • Pouze písmena: 49 644 (30,1%)
  • Pouze čísla: 19 493 (11,82%)

Celkový počet unikátních e-mailů

V „BigDB“ je celkem 161 592 unikátních e-mailových adres a hesel v čitelné podobě, které pochází ze slovenských webů, z toho 48 934 unikátních e-mailových adres s koncovkou .sk. Pokud mě paměť neklame, tak na Slovensku se nap5. více používá např. Gmail, což by počtu .sk adres odpovídalo.

Pokud to dáme dohromady s e-maily z databáze 1,4 miliardy přihlašovacích jmen a hesel z prosince 2017, tak nám vyjde, že útočníci mají k dispozici 1,14 milionu unikátních e-mailových adres s koncovkou .sk a hesel, což není vůbec špatný.

Pokud nemáte každé heslo jiné, tak bych vám rád popřál hodně štěstí, budete ho potřebovat.


Mohlo by vás také zajímat

Michal Špaček

Michal Špaček

Vyvíjím webové aplikace, zajímá mě jejich bezpečnost. Nebojím se o tom mluvit veřejně, hledám hranice tak, že je posouvám. Chci naučit webové vývojáře stavět bezpečnější a výkonnější weby a aplikace.

Veřejná školení

Zvu vás na následující školení, která pořádám a vedu:

Bezpečnost PHP aplikací
(25.–26. června 2019 Praha)

HTTPS pro vývojáře a správce
(červen 2019 Praha)