Miért szivárognak ki a jelszavak

Az, hogy „feltörték a jelszavam”, azt sugallja, hogy valaki a levelezési címedhez találgatta a betűket. Valójában szinte mindig a szolgáltatást törik fel: egy boltot, fórumot vagy futárszolgálatot. Onnan az egész adatbázist viszik el - egyszerre milliónyi sort -, a te jelszavad pedig csak egy ezek közül.

Egy gondos szolgáltatás nem tárolja a jelszavadat. Kriptográfiai lenyomatot tárol - egy visszafejthetetlen lenyomatot, amelyhez véletlenszerű, felhasználónként eltérő sót adnak, és szándékosan lassú algoritmussal számítják ki: így drága a jelszavak kinyerése az ellopott adatbázisból. De nem mindenki járt el így. Volt, ahol a jelszavak nyílt szövegként hevertek, máshol gyors kriptográfiai lenyomatot számítottak, amelyhez egy videokártya másodpercenként több milliárd változatot próbál ki.

Ezután már nem feltörésről, hanem egyszerű matekról van szó. A felhasználóneved szinte mindenhol ugyanaz - a levelezési címed. Ha a jelszavad is ismétlődik, az ellopott adatbázisból származó „levelezési cím + jelszó” páros rögtön működhet a postaládádhoz, egy piactérhez és a játékfiókodhoz is.

Ezért van a szivárgásnak második élete. A kész pároslistákat botokkal egymás után több száz oldalon próbálják ki - ezt hitelesítő adatok tömeges kipróbálásának nevezik. Ritkán működik, a próbálkozások töredékénél, de ha milliónyi páros van, az több tízezer idegen fiókot jelent. A láncot csak a második faktor szakítja meg: egy kód vagy kulcs, amely nem volt az adatbázisban.

Ebből egy bosszantó következtetés adódik: a hosszúság és a speciális karakterek alig befolyásolják, hogy kiszivárog-e a jelszó - csak azt, mennyi idő visszafejteni a lenyomatból. Nem a bonyolultság, hanem az egyediség véd a szivárgástól. Külön történet a jelszó 3 havonkénti cseréjének szokása: nem gyűlt össze bizonyíték arra, hogy csökkenti a kockázatot, viszont jól látszik, hogy az emberek kiszámíthatóan cserélnek, egy számjegyet írva a régi jelszó végére. Az amerikai szabványügyi intézet, a NIST 2017-ben kivette ajánlásaiból az ütemezett jelszócsere követelményét.

Egy szivárgásnak hosszú az élettartama: egy adatbázis éveken át gazdát cserélhet, mielőtt nyilvános archívumba kerül - a LinkedInről ellopott teljes adatállományt 4 évvel a feltörés után tették közzé. Ezért szólhat az „adataid érintettek voltak egy szivárgásban” levél egy olyan szolgáltatásról, amelyről már rég megfeledkeztél.

Az első reakció egy ilyen levélre, hogy azonnal minden jelszót lecserélsz, aztán félúton abbahagyod. Hasznosabb sorrendben haladni: először a levelezőfiókodat, aztán az ugyanazt a jelszót használó szolgáltatásokat védd meg.