Anar al contingut

Have I Been Pwned?

De L'Enciclopèdia, la wikipedia en valencià
Have I Been Pwned?

Have I Been Pwned? (HIBP; en "Pwned" pronunciat com "poseu",[1] i estilisat en totes les minúscules com «‘;--have i been pwned?» en el lloc web) és un lloc web que permet als usuaris d'Internet comprovar si les seues senyes personals s'han vist compromesos per violacions de senyes. El servici recopila i analisa centenars de fichers de bases de senyes que contenen informació sobre mils de millons de contes filtrats, i permet als usuaris buscar la seua pròpia informació introduint el seu nom d'usuari o direcció de correu electrònic. Els usuaris també poden inscriure's per a que se'ls notifique si la seua direcció de correu electrònic apareix en futurs bolcats. El lloc ha segut àmpliament promocionat com un recurs valiós per als usuaris d'Internet que desigen protegir la seua pròpia seguritat i privacitat[2][3] Have I Been Pwned? va ser creat per l'expert en seguritat Troy Hunt el 4 de decembre de 2013.

En juny de 2019, Have I Been Pwned? té un promig d'uns cent xixanta mil visitants diaris, el lloc té casi tres millons de subscriptors de correu electrònic actius i conté registres de casi huit mil millons de contes.[4]

Característiques

La funció principal d'Have I Been Pwned? des del seu llançament és proporcionar al públic en general un mig per a comprovar si la seua informació privada ha segut filtrada o compromesa. Els visitants del sitie web poden introduir una direcció de correu electrònic i vore una llista de totes les violacions de senyes conegudes en registres vinculats a eixa direcció de correu electrònic. El lloc web també oferix detalls sobre cada filtració de senyes, com l'història de la filtració i quins tipos específics de senyes es varen incloure en ella.

Have I Been Pwned? també oferix un servici de "Notifica'm" que permet als visitants subscriure's a notificacions sobre futures violacions. Una volta que algú se subscriu a este servici de correu de notificacions, rebrà un mensage de correu electrònic cada volta que la seua informació personal es trobe en una nova violació de senyes.

En setembre de 2014, Hunt va afegir una funcionalitat que permetia afegir automàticament noves violacions de senyes a la base de senyes d'HIBP. La nova funció utilisava Dump Monitor, un bot de Twitter que detecta i difon provables bolcats de contrasenyes trobats en pastebin, per a afegir automàticament noves violacions potencials en temps real. Les filtracions de senyes solen aparéixer en els pastebins ans que s'informe àmpliament d'elles, per lo que la supervisió d'esta font permet notificar abans als consumidors si s'han vist compromesos.[5]

Ademés de detallar els successos de violació de senyes en els que s'ha vist afectada el conte de correu electrònic, el lloc web també indica a els qui apareixen en la seua busca en la base de senyes que instalen un gestor de contrasenyes, concretament 1Password, que Troy Hunt ha respalat recentment.[6] Una explicació en llínea en el seu lloc web[7] explica els seus motius i manté que el benefici monetari no és l'objectiu d'esta colaboració.[8]

Contrasenyes Compromeses

En agost de 2017, Hunt va fer públiques 306 millons de contrasenyes a les que es podia accedir a través d'una busca en la web o que es podien descarregar de forma massiva.[9]

En febrer de 2018, l'informàtic britànic Junade Ali va crear un protocol de comunicació (que utilisa el k-anonimat i el #ing criptográfico) per a verificar de forma anònima si una contrasenya es va filtrar sense revelar completament la contrasenya buscada.[10][11] Este protocol es va implementar com una API pública en el servici d'Hunt i ara és consumit per múltiples llocs web i servicis, inclosos els gestors de contrasenyes[12][13] i les extensions del navegador.[14][15] Este enfocament va ser replicat posteriorment per la funció Chequeo de la Contrasenya de Google.[16][17][18] Ali va treballar en academics en Cornell Universitat a formalment analisar el protocol per a identificar llimitacions i desenrollar dos versions noves d'este protocol conegut com Bucketization de Mida de Freqüència i Bucketisació basada en identificador.[19] En març de 2020, es va afegir a este protocol un esquema de farcidura.[20]

Història

Llançament

A portrait photograph of Troy Hunt's head and shoulders. Hunt has light skin and brown hair, which is short and slicked back. He is looking directly at the viewer and smiling with his top row of teeth showing. He is wearing a dark blue shirt, and is against a dark green and black background.
Troy Hunt, el creador d'Have I Been Pwned?

A finals de 2013, l'expert en seguritat web Troy Hunt va analisar les violacions de senyes en busca d'amenaces i comportaments. Es va donar conte de que les filtracions podien afectar en gran mida als usuaris que ni tan sols eren conscients de que les seues senyes estaven en perill i, com a resultat, va escomençar a desenrollar HIBP. "Provablement el principal detonant va ser Atobó", diu Hunt sobre la seua motivació per a posar en marcha el lloc, en referència a la brecha de seguritat d'Atobó Systems que va afectar a 153 millons de contes en octubre de 2013.[21]

Hunt va llançar Have I Been Pwned? el 4 de decembre de 2013 en un anunci en el seu blog. En eixe moment, el lloc tenia només cinc violacions de senyes indexades: Adobe Systems, Stratfor, Gawker, Yahoo! Voices i Sony Pictures. No obstant, el lloc tenia ara la funcionalitat d'afegir fàcilment futures violacions tan pronte com es feren públiques. Hunt va escriure:

Violació de senyes

Des del seu llançament, el principal objectiu de desenroll d'HIBP ha segut afegir noves violacions de senyes lo més ràpidament possible en acabant de que es filtren al públic.

En juliol de 2015, el servici de cites en llínea Ashley Madison, conegut per animar als usuaris a mantindre relacions extramatrimonials, va sofrir una filtració de senyes, i les identitats de més de 30 millons d'usuaris del servici es varen filtrar al públic. La filtració de senyes va rebre una àmplia cobertura mediàtica, presumiblement pel gran número d'usuaris afectats i a la vergonya percebuda per tindre una aventura. Segons Hunt, la publicitat de la filtració va provocar un aument del 57000% en el tràfic d'HIBP.[22] A raïl d'esta filtració, Hunt va afegir a HIBP una funció per la que les filtracions considerades "sensibles" no es podien buscar públicament i només es revelaven als subscriptors del sistema de notificació per correu electrònic. Esta funcionalitat es va activar per a les senyes d'Ashley Madison, aixina com per a les senyes d'atres llocs potencialment escandalosos, com Adult FriendFinder.[2]

En octubre de 2015, Hunt va ser contactat per una font anònima que li va proporcionar un bolcat de 13.5 millons de direccions de correu electrònic i contrasenyes en text pla d'usuaris, alegant que procedia de 000webhost, un proveïdor d'estage web gratuït. En colaboració en Thomas Fox-Brewster, de Forbes, va verificar que el bolcat era provablement genuí, provant les direccions de correu electrònic que contenia i confirmant l'informació sensible en varis clients de 000webhost. Hunt i Fox-Brewster varen intentar posar-se en contacte vàries voltes en 000webhost per a confirmar l'autenticitat de la filtració, pero no varen obtindre resposta. El 29 d'octubre de 2015, despuix del restabliment de totes les contrasenyes i la publicació de l'artícul de Fox-Brewster sobre la filtració, 000webhost va anunciar la filtració de senyes per mig de la seua pàgina de Facebook.[23][24]

A principis de novembre de 2015, el Grup Paysafe, l'empresa matriu d'abdós proveïdors, va confirmar que dos violacions dels proveïdors de pagaments d'apostes, Neteller i Skrill, eren autèntiques. Les senyes incloïen 3,6 millons de registres de Neteller obtinguts en 2009 per mig d'un exploit en Joomla, i 4,2 millons de registres de Skrill (llavors conegut com Moneybookers) que es varen filtrar en 2010 despuix de vore's compromesa una ret privada virtual. Els 7,8 millons de registres combinats es varen afegir a la base de senyes d'HIBP.[25]

Eixe mateix més, el fabricant de joguets electrònics VTech va ser piratejat, i una font anònima va proporcionar en privat a HIBP una base de senyes que contenia casi cinc millons de registres de pares. Segons Hunt, esta va ser la quarta major violació de la privacitat dels consumidors fins a la data.[26]

En maig de 2016, una série de filtracions de senyes sense precedents que es remontaven a varis anys arrere es va fer pública en un breu periodo de temps. Estes filtracions incloïen 360 millons de contes de Myspace d'al voltant de 2009, 164 millons de contes de LinkedIn de 2012, 65 millons de contes de Tumblr de principis de 2013 i 40 millons de contes del servici de cites per a adults Fling. com. Tots estos conjunts de senyes varen ser posats a la venda per un hacker anònim cridat "peace_of_mind", i poc despuix varen ser proporcionats a Hunt per a que els incloguera en HIBP.[27] En juny de 2016, es va afegir a la base de senyes d'HIBP una "mega brecha" adicional de 171 millons de contes de la ret social russa VK.[28]

En agost de 2017, BBC News va publicar l'artícul Have I Been Pwned? sobre el descobriment per part d'Hunt d'una operació d'enviament de spam que s'ha nutrit d'una llista de 711.5 millons de direccions de correu electrònic.[29]

Esforç infructuós per a vendre HIBP

A mitan de juny de 2019, Hunt va anunciar els seus plans de vendre Have I Been Pwned? a una organisació encara per determinar. En el seu blog, va expondre els seus desijos de reduir l'estrés personal i ampliar el lloc més allà de lo que era capaç de conseguir per sí mateixa.[30] En el moment de publicar l'entrada en el blog, estava treballant en KPMG per a trobar empreses que considerara adequades i que estigueren interessades en l'adquisició. No obstant, en març de 2020, va anunciar en el seu blog que Have I Been Pwned? seguiria sent independent en el futur immediat.[31]

Open-sourcing

El 7 d'agost de 2020, Hunt va anunciar en el seu blog la seua intenció d'obrir el còdic base d'Have I Been Pwned?.[32] Va escomençar a publicar alguns còdics el 28 de maig de 2021.[33]

Referències

  1. ↑ «What Does 'Pwn' Pixen?» (en en). www. merriam-webster. com. Consultat el 2022-05-25.
  2. ↑ 2,0 2,1 Seltzer, Larry. «How to find out if your password has been stolen» (en en). ZDNet. Consultat el 2022-05-25.
  3. ↑ Price, Rob. «There's an easy way to see whether you'veu been affected by the Ashley Madison leak and previous massive hacks» (en en-us). Business Insider. Consultat el 2022-05-25.
  4. ↑ «Project Svalbard: The Future of Have I Been Pwned» (en en). Troy Hunt (2019-06-11). Consultat el 2022-05-25.
  5. ↑ «Search engine for hacks now monitors Pastebin to find your sensitive data» (en en-us). The Daily Dot (2014-09-16). Consultat el 2022-05-25.
  6. ↑ «Finding Pwned Passwords with 1Password - AgileBits Blog». agilebits. com (2018-02-22).
  7. ↑ «Have I Been Pwned is Now Partnering With 1Password» (en en). Troy Hunt (2018-03-29). Consultat el 2022-05-25.
  8. ↑ «Have I Been Pwned is Now Partnering With 1Password». troyhunt. com (2018-03-29).
  9. ↑ «Need a new password? Don't choose one of these 306 million». Consultat el 2018-05-29 (en en-us).
  10. ↑ «Find out if your password has been pwned—without sending it to a server». Consultat el 2018-05-24 (en en-us).
  11. ↑ «1Password bolts on a 'pwned password' check – TechCrunch» (en en-us). techcrunch. com. Consultat el 2018-05-24.
  12. ↑ «1Password Integrates With 'Pwned Passwords' to Check if Your Passwords Have Been Leaked Online». Consultat el 2018-05-24 (en en).
  13. ↑ Conger, Kate. «1Password Helps You Find Out if Your Password Is Pwned». Consultat el 2018-05-24 (en en-us).
  14. ↑ Condon, Stephanie. «Okta offers free multi-factor authentication with new product, One App | ZDNet». Consultat el 2018-05-24 (en en).
  15. ↑ Coren, Michael J.. «The world's biggest database of hacked passwords is now a Chrome extension that checks yours automatically». Consultat el 2018-05-24 (en en-us).
  16. ↑ Wagenseil I. «Google's New Chrome Extension Finds Your Hacked Passwords». www. laptopmag. com.
  17. ↑ «Google Launches Password Checkup Extension to Alert Users of Data Breaches» (en en-us). BleepingComputer.
  18. ↑ Dsouza (2019-02-06). «Google's new Chrome extension 'Password CheckUp' checks if your username or password has been exposed to a third party breach». Packt Hub.
  19. ↑ Li, Lucy; Pal, Bijeeta; Ali, Junade; Sullivan, Nick(2019-11-06).«Protocols for Checking Compromised Credentials».Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security.ACM.New York, NY, USA:: 1387–1403.doi:10.1145/3319535.3354229.
  20. ↑ Ali (2020-03-04). «Pwned Passwords Padding (ft. Lava Lamps and Workers)» (en en). The Cloudflare Blog. Consultat el 12 May 2020.
  21. ↑ «The Rise of ‘Have I Been Pwned?’, an Inevaluable Resource in the Hacking Age» (en en). www. vice. com. Consultat el 2022-05-25.
  22. ↑ «Check if you’re the victim of a data breach with ‘Have I Been Pwned?’» (en en-gb). Graham Cluley (2013-12-05). Consultat el 2022-05-25.
  23. ↑ «How Troy Hunt Is Alerting Web Users Ensnared in Huge Data Breaches».
  24. ↑ Brewster, Thomas. «13 Million Passwords Appear To Have Leaked From This Free Web Host - UPDATED» (en en). Forbes. Consultat el 2022-05-25.
  25. ↑ «Iniciar sessió en Facebook» (en en). Facebook. Consultat el 2022-05-25.
  26. ↑ Brewster, Thomas. «Gambling Darling Paysafe Confirms 7.8 Million Customers Hit In Epic Old Hacks» (en en). Forbes. Consultat el 2022-05-25.
  27. ↑ «One of the Largest Hacks Yet Exposes Data on Hundreds of Thousands of Kids» (en en). www. vice. com. Consultat el 2022-05-25.
  28. ↑ Storm, Darlene (2016-05-30). «Pwned: 65 million Tumblr accounts, 40 million from Fling, 360 million from MySpace» (en en). Computerworld. Consultat el 2022-05-25.
  29. ↑ «Giant spambot scooped up 711 million email addresses», BBC News, 2017-08-30. Consultat el 2022-05-25 (en en-gb).
  30. ↑ «Project Svalbard: The Future of Have I Been Pwned» (en en). Troy Hunt (2019-06-11). Consultat el 2019-06-11.
  31. ↑ «Project Svalbard, Have I Been Pwned and its Ongoing Independence» (en en). Troy Hunt (2020-03-03). Consultat el 2020-04-30.
  32. ↑ Hunt. «I'm Open Sourcing the Have I Been Pwned Code Base». Consultat el 2020-08-08.
  33. ↑ Hunt. «Pwned Passwords, Open Source in the . NET Foundation and Working with the FBI». Consultat el 29 May 2021.


Obtingut de «https://lenciclopedia.org/w/index.php?title=Have_I_Been_Pwned%3F&oldid=1593231»