Pobeglih in razbitih 320 milijonov gesel

Minuli mesec je raziskovalec in varnostni strokovnjak Troy Hunt objavil 320 milijonov gesel, ki jih je zbral z brskanjem po internetu. Gre za gesla, ki jih je na internet naplavil kakšen vdor in veljajo za ne-varna, njihova uporaba pa se odsvetuje. Toda ker bi bila objava gesel neodgovorna, jih je zgostil z algoritmom SHA-1 in objavil v takšni obliki.

Tako lahko vsakdo preveri, ali je njegovo geslo že kdaj ušlo na internetu, ni pa mogoče prebirati gesel. Prav tako lahko upravljavci spletnih strani bazo potegnejo na disk in pri izbiri gesel uporabnikom preverijo, ali si niso nemara izbrali ne-varnega gesla.

Sedaj je več kot 99,99 % vseh teh gesel razbitih. Skupina cynoprime je v sodelovanju z m33x in tychotithonus uspela razbiti skoraj vse te zgoščene vrednosti. Nerazkritih je ostalo le še 116 gesel, pri čemer so ugotovili, da ne gre izključno za zgoščene vrednosti SHA-1, temveč tudi nekaj gnezdenih (recimo SHA-1 v SHA-1) in nekaj vnosov, ki niso gesla.