News 8,4 Milliarden Passwörter: Riesige TXT-Datei in Szeneforen aufgetaucht

[Miuwa]

Wobei selbst das eigentlich kein großes Problem wäre so lange man ein ausreichend langes Masterpasswort hat. Meins hat 20 Zeichen oder so und da per Bruteforce durch zu kommen dauert länger als ich (oder unser Sonnensystem) leben werde. So lange AES256 sicher ist ist es auch die Datenbank.

Naja, das ist halt so ähnlich wie bei perfect security: Nur weil ich jetzt glaube, dass das Passwort/die Verschlüsselung sicher ist will ich mich nicht unbedingt drauf verlassen, dass das auch so bleibt (wer weiß ob ich mir in zwei Jahren nicht doch mal nen keylogger einfange oder ne schwachstelle in den verschlüsselungsroutinen gefunden wird). Deshalb hätte ich bei nem öffentlichen repo schon ein ziemlich mulmiges Gefühl.

 

[Conqi]

@Miuwa Darum auch die Worte "selbst das" und "eigentlich". Empfehlen würde ich es auch definitiv nicht. Man hat dadurch ja auch keinen Vorteil. Es ist aber eben auch kein Weltuntergang, wenn jemandem die Datei in die Hände gelangt.

 

[zett0]

Die Eingabe des Master-Passwort um die Datenbank zu öffnen geschieht in einem vor Keyloggin sicheren Aufruf+Biometrie.

Wie sieht denn der Schutz vor Keyloggern genau aus?

 

[EmmaL]

Wenn ich nun meine Passwörter da eingebe, werden die dann in die Liste mit aufgenommen?

 

[dernettehans]

Wieso postet CB sowas unseriöses und wirbt dafür? Woher weiß man, ob die Passwörter echt sind? Für mich sieht das eher nach einem dreisten honeypot aus, einfach random generierte Passwörter in ner riesigen txt um damit zu werben, um Leute dann ihre echten Passwörter zu """testen""" die dann abgegriffen werden.

 

[Th31X]

Zahlenfolge von 0000 bis 9999
Überschrift "Geheimzahlen von EC-Karten geleaked!"

Oh Cool,
Wo wir gerade bei 4 Stelligen Pin Codes sind.
Sky.de (Sky Ticket) hat es immer noch nicht geschafft den Account mit einem vernünftigen Passwort abzusichern. Der Account mit Zugang zum Service inkl. aller personenbezogenen Daten werden immer noch mit einem maximal 4 stelligen Pin-Code abgesichert. Unfassbar Heutzutage. 🤦‍♂️

 

[poly123]

Have i been pawned hat die bessere Vorgehensweise, Abfragekriterium: hinterlegte E-Mail Adresse…

 

[ghostwriter2]

Das erinnert mich daran (über Google Bilder gefunden, falls nicht erlaubt bitte wieder löschen)

 

[hans_meiser]

Was mich echt ankotzt sind Webseiten, die entweder ganz heiligtuend beschränkte Regeln für Kennwörter haben (muß eine Nummer und ein Zeichen haben, aber Zeichen kann kein "!" oder "@" sein), oder die halt die Verifikation nicht hinkriegen (gutes Kennwort, aber halt scheiße geprüft -> nicht angenommen).

Das ist mir schon einige Male passiert, wenn ich 1Password für die Erzeugung eines Kennwortes benutze. Zu sicher, oder so. Ekelerregend.

 

[drago-museweni]

Bin mittlerweile ein Freund der zwei Faktor Authentifizierung, vor allem beim neu Anmelden von an neuen Geräten etz....

 

[guillome]

Wie sieht denn der Schutz vor Keyloggern genau aus?

KeePass 2.x has an option to show the master key dialog on a different/secure desktop, similar to Windows' User Account Control (UAC).
Benefit. Most currently available keyloggers only work on the user's primary desktop and do not capture keypresses on the secure desktop. So, the secure desktop protects the master key against most keyloggers.

Kein 100% Schutz (wie alles auf dieser Welt) aber besser als nix. In Kombination mit Biometrie völlig ausreichend für meinen Aluhut

 

[orodigistan]

oh noez ...

Ergänzung (11. Juni 2021)

so eine txt datei habe ich auch. ist sehr bequem mit editor passwörter in eine große datei zu schreiben und jederzeit abzurufen. hochgeladen auf mega.nz und man kann sie überall runterladen

 

[RAMSoße]

Mal ganz Naiv: Kann man die TXT datei irgendwo runterladen? Dann schau ich selber nach ob meine Passwörter dabei sind

Außerdem: Wie läd man so etwas "großes" zum Brutforcen in den Speicher? Also rein Technisch. Wird das dann stück für Stück geladen und abgearbeitet?

 

[ComputerJunge]

Wird das dann stück für Stück geladen und abgearbeitet?

This. Konkrete Wege der Implementierung gibt es dann zahlreiche.

 

[Sester]

Hey mein cb passwort has been owned =!!
ber1+thacb

 

[416c]

Ganz schwach zum Checker zu verlinken, welcher das Passwort im Klartext auf den Server blaest. Das zeigt wie wenig sich die Redaktion informiert hat.

 

[mrcoconut]

Anhang anzeigen 1089700

mein Telefon sagt mir schon länger so was ähnliches. 😁

Mein iPhone hat mich letzte Woche darauf aufmerksam gemacht. Direkt mal die Passwörter bei den wichtigsten und sensibelsten Accounts geändert und 2FA aktiviert sofern noch nicht geschehen.

War Schon ein mulmiges Gefühl und erschreckend wie viele Accounts man so hat.

Schönes sonniges Wochenende 😀!

mrcoconut

 

[LukS]

ja klar ich geb auf den überprüf webseiten mein pw ein und zack haben sie es. nop! man wird nur noch verarscht.

Da wird ja nicht dein PW in Klartext übertragen und mit Klartext Passwörtern verglichen.
Alle Passwörter auf der Passwortliste werden gehasht und diese Hashwerte werden für den Vergleich hinterlegt.
Wenn du dein Passwort eingibst und auf senden drückst, dann wird dein Passwort vor der Übertragung gehasht und dann übertragen. Die Hashwerte werden dann verglichen. Sollte also jemand den Hashwert abfangen, dann fängt er damit nichts an, weil er nicht weis wie das ursprüngliche PW aussieht und er es aus dem Hashwert auch nicht einfach wiederherstellen kann.

Du musst in diesem Fall nur den Seitenbetreiber vertrauen, dass er dein Passwort nicht in Klartext überträgt. Da have I been pwned bekannt ist und man weis wer dahinter steckt, kann man denen schon trauen.
https://haveibeenpwned.com/About

 

[Miuwa]

Da wird ja nicht dein PW in Klartext übertragen .

Doch, laut Aussage mehrere User heir im Thread (und laut news Update) passiert in diesem fall hier leider genau das. Schon echt traurig.

Ergänzung (11. Juni 2021)

Du musst in diesem Fall nur den Seitenbetreiber vertrauen, dass er dein Passwort nicht in Klartext überträgt. Da have I been pwned bekannt ist und man weis wer dahinter steckt, kann man denen schon trauen.

Vertrauen ist zum Glück unnötig - es lässt sich direkt überprüfen.

 

[LukS]

Das ist dann schon traurig für so eine Seite...