Vlákno názorů k článku V úniku z Mallu je přes tři čtvrtě milionu jmen, hesel a telefonních čísel v čitelné podobě od Andy_S - Spis by se hodilo mit moznost si nekde...
-
David SlížekPodporovatelPíšeme to v závěru textu: např. Mall zveřejnil aplikaci, která ověřuje, jestli váš účet v úniku je.
-
Skřetík (neregistrovaný)
Jenže Mall také rozeslal e-mail s informací, že "zaznamenali jsme totiž pokus o narušení bezpečnosti, který se dotkl starší databáze uživatelských účtů, jež neměly dostatečné silné heslo". Což vyznívá tak, že se to dotklo jen těch se slabším heslem (= uživatelé si za to vlastně mohou sami, kdyby měli silné heslo tak jsou v pohodě). Následně informoval o tom, že to bylo zašifrované md5 což nesplňuje dnešní nároky na šifrování hesel, a že od 2016 používají bcrypt.
Vy píšete, že na ulož.to byla kompletní databáze s hesly z čehož je zřejmé, že vše uvedené výše není nic víc, než manažerské/PR cancy.
Z čehož vyplývá, že věřit aplikaci od Mall na ověření je asi stejně rozumné, jak věřit Patricku KW Chanovi, co po vás chce jen pár desítek tisíc aby vám převedl pár milionů. Z vašeho sdělení je pravdivé jen že Mall zveřejnil nějakou aplikaci. Tomu že ta aplikace cokoli ověřé může věřit jen blázen.
-
David SlížekPodporovatel
Jen aby nedošlo k nedorozumění - nepíšeme, že na Uloz.to byla kompletní databáze se všemi hesly z Mallu - něco takového bychom těžko dokázali ověřit. Píšeme, že máme databázi uniklých hesel, která se objevila na Uloz.to, v tom je rozdíl.
Z našich testů vyplývá, že několik uživatelů se silnými hesly se buď v úniku vůbec nenašlo, nebo hesla u jejich mailu neodpovídala skutečnosti (byla tam ta šestimístná, která vypadal jako náhodně vygenerovaná). Na vyvozování obecného záměru ale neznáme dost takových případů.
A ano, tisková zpráva Mallu se patrně snažila věci zamlžovat, přesnější detaily zveřejnili až na blogu. A také máte samozřejmě pravdu v tom, že je to celé věcí důvěry.
-
Pokud nevěříš mall.cz, tak tady jsem udělal jednoduchý script na základě té uniklé databáze, který zkontroluje zda tam tvůj mail je, nebo není: https://github.com/Bystroushaak/mall_checker
Je tam i SHA256 databáze všech uniklých mailů.
-
Myslíš ten 39 řádkový script v čistém pythonu, který má všeho všudy 23 řádků kódu, když vynechám mezery a komentáře? Řekl bych, že i člověk, který programování vůbec nerozumí by měl být schopný si zkontrolovat, že dělá co má dělat.
Jinak je tam i samotná databáze hashů emailů, takže pokud se někomu nechce ten script používat, může se do ní podívat třeba grepem, pokud si předtím vytvoří sha256 hash svého mailu v lowercase ručně.
-
Při vší úctě. Kolik lidí z 1 000 si podle tebe bude kontrolovat ten kód? Kolik lidí bude schopno, nebo ochotno? Kolik z nich má dostatek znalostí, aby sami sebe přesvědčily, že ten kód je všechno, co se vykoná?
Rozuměj... Nedává to smysl. Člověk, co se tak bojí o svoji bezpečnost, že nevěří Mallu bude věřit neznámému scriptu? Někam má zadat svoji mailovou adresu, o kterou se bojí? Má někde něco prověřovat a přesvědčit sám sebe, že toho ví dost na to, aby mohl prohlásit, že je to všechno bezpečné?
Osobně mi připadá, že všechny ty předpoklady jsou proti sobě.
-
Hele, mě je to fakt úplně ukradený. Prostě jsem něco pro osobní potřebu udělal, hodil to na github a dál mě to nezajímá. To že jsem hodil odkaz sem do diskuze je jen takový možný bonus pro ostatní, nic víc. Nemám žádné poplatky z použití. Když to nikdo nebude používat, tak prostě nebude, já do toho rozhodně nikoho nutit nebudu.
Nevím, kde jsi přišel na to že se lidi bojí o bezpečnost - lidi se bojí o to, že Mall lže v tom svém formuláři, stejně jako lhal při všemožných vyjádřeních. Sami imho pořádně neví, co se stalo, tak je oprávněná obava že budou dezinformovat i ohledně toho komu všemu hesla unikly. Tyhle názory si necucám z prstu, to píšou i lidi přímo v téhle diskuzi.
Jinak mi psali na mail dva lidi, že se jim to hodilo, že tam našli svůj email a ať jim pošlu i heslo co jim uniklo, aby věděli co maj změnit, takže minimálně dvěma lidem to užitečné bylo. Ale i kdyby nebylo, tak pro mě to těžko něco mění.
ČLÁNKY DO MAILU