Home Sign Up Sign In
• 请不要在回答技术问题时复制粘贴 AI 生成的内容
VmuTargh
V2EX  ›  程序员

关于网易，补刀

  •   
  •   VmuTargh · Oct 19, 2015 via Android · 8800 views
    This topic created in 4035 days ago, the information mentioned may be changed or developed.
    嗯，刚才上线看到网易大规模撞库一下子蒙了， yandex 撞库都没我什么事但是网易一撞真的跪了，因为我一大堆账号的密码都和网易的密码一个样……现在在苦逼改密码，作业都没时间写了……

    另外有邮箱绑定到网易的 v 友们赶紧改密码了，很大可能也中枪了……现在我很多的账号已经中枪倒地不起。刚才去改了网易邮箱的密码，目前正常登陆……

    本人中枪列表： qq3 枚(大号可以不管，已经被盗，但因为注册时强制二次密保自己又忘记，所以现在可以排除)、 yandex 账号 2 枚， github 账号 2 枚，度娘 2 枚， google 、 facebook 、 twitter 、 opera link 、 lastpass 、 firefox 、 openshift 、 bitbucket 、 bakabt 、 rutracker 、 noname-club 等各一枚……

    苦逼改密码去了……
  • 密码
  • 网易
  • 撞库
  • yandex
    51 replies  •  2015-10-20 22:41:22 +08:00
    tntsec
    tntsec
    Oct 19, 2015
    1
    网易泄漏的是哈希密文，如果你的密码本身就够强壮，你不能担心被破解
    网易后台能有登陆记录
    另外我改了密码了，防患于未然
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    2
    @tntsec 刚才改密码前看了一下记录，上一次登录邮箱是 2 年前……所以没有问题，但是为了以防万一还是改了密码，另外看现在泄露的情况，网易没有加盐，直接暴力破解一下子一大串……
    tntsec
    tntsec
    Oct 19, 2015
    3
    @VmuTargh 看乌云报道，是加盐的。不然也不用爆破，直接登录就行了
    而且肯定是加盐的，哪有直接存明文的， CSDN 除外
    15 位以上带符号密码基本没有破解的可能性
    imnpc
    imnpc
    Oct 19, 2015
    4
    目前看泄漏的是 md5
    还好网易的早就不是主邮箱了....
    gmail 开了 2 次验证 勉强能安全点吧
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    5
    @tntsec 那就不清楚了，但是密码是 7 位数字加 5 位纯小写……理论上破解难度很大，但是刚才被吓得不轻直接加了一位小写字母……
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    6
    @imnpc gmail 我也不用的，主力是 2 个 yandex 邮箱
    Luzifer
    Luzifer
    Oct 19, 2015
    7
    我都忘记用这货注册了那些服务。麻痹的，整一晚上了。
    tntsec
    tntsec
    Oct 19, 2015
    8
    @VmuTargh 15 位以下的数字，字母大小写早被跑干净了。
    zander
    zander
    Oct 19, 2015
    9
    @tntsec 登录记录屁用没有， 163 邮箱 SMTP/POP3/IMAP 默认开启，走这些协议的不会留下记录。
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    10
    @tntsec 算了，再加几个俄文字母好了……
    imnpc
    imnpc
    Oct 19, 2015
    11
    顺便说下
    目前还是有明文保存密码的要求
    不过一般是只读性质放在内网
    不清楚有多少这样要求的
    不过国内的页游公司都有这要求
    maroon
    maroon
    Oct 19, 2015
    12
    网易邮箱不能改手机号也特么太 sb 了
    dalaomj
    dalaomj
    Oct 19, 2015
    13
    @tntsec 早期的互联网，都和 CSDN 一样。明文或简单 MD5 。 CSDN 在泄漏之前已经不是明文了，但架不住已经泄漏的老数据在黑产圈传播，然后某一天就抖给公众了
    zangbob
    zangbob
    Oct 19, 2015
    14
    上次 CSDN 导致丢了一个网易邮箱后，就不敢用了。

    虽然保留了一个帐户，也是通过软件生成的超长密码。刚才又顺手去改了一下……
    Zzzzzzzzz
    Zzzzzzzzz
    Oct 19, 2015
    15
    有清单还好，我这边用了十四年网易邮箱, 注册的东西数不清了, 已经懒得改了 （ T﹏T ）
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    16
    @zangbob 现在就是怕很多绑定在网易邮箱的其他邮箱密码被波及…… 5e 的数量肯定是波及到一部分了，刚才和贴吧里头某只水羊羊谈到这个问题瞬间惊悚了……
    dalaomj
    dalaomj
    Oct 19, 2015
    17
    简单的 md5 加密？ 过去泄漏->现在解密（一般的库，彩虹表暴破，破解率已超过 95%）
    现在很难破解的加密方式？封存数据->未来解密
    安全这事，只能尽力。没有绝对。
    cxbig
    cxbig
    Oct 19, 2015
    18
    现在针对 MD5 的彩虹表已经很齐全了，最快速度改密码和问答还是有必要的。
    Zzzzzzzzz
    Zzzzzzzzz
    Oct 19, 2015
    19
    突然想起一件事， 网易除了自己做邮箱以外， 也销售邮箱解决方案， 这次要是邮箱方面程序出问题导致的数据泄漏， 那问题大了。
    miyuki
    miyuki
    Oct 19, 2015 via Android
    20
    俄文 2333
    Andy1999
    Andy1999
    Oct 19, 2015 via iPhone
    21
    @tntsec MD5
    nikubenki
    nikubenki
    Oct 19, 2015 via iPhone
    22
    @VmuTargh yandex 邮箱怎么样，我一直用他们家的浏览器
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    23
    @miyuki github 支持俄文……刚才试过了，顺便说一下，我网易邮箱的密码修改完登录不上去……果然是出问题……
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    24
    @nikubenki 很不错，有时候会误 spam ，垃圾邮件识别还是挺准，之前 qq 一大堆垃圾邮件还有病毒邮件 yandex 里一个也看不到……
    jings
    jings
    Oct 19, 2015
    25
    @tntsec
    2 位 UTF-32 的 unicode 码 就够受的。
    量子计算机真正应用前 密码还能正常存活多久？
    hinate
    hinate
    Oct 19, 2015 via Android
    26
    还好我最开始用的 gmail ，反正现在也不好登录，放心！
    ys0290
    ys0290
    Oct 19, 2015 via iPhone
    27
    已在中国雅虎死掉前连续奋战多日将各网站绑定邮箱换到域名邮箱下
    kmahyyg
    kmahyyg
    Oct 19, 2015
    28
    16 位剧复杂随机密码路过……
    visonnn
    visonnn
    Oct 19, 2015
    29
    自己把密保问题答案给忘了 233333

    改都改不了
    VmuTargh
    VmuTargh
    OP
    Oct 19, 2015 via Android
    30
    @visonnn 还好我绑定了另外的邮箱，刚才已经改完了一部分
    liyvhg
    liyvhg
    Oct 19, 2015
    31
    @nikubenki 邮件秒推到手机（安卓手机客户端没有运行的情况下）应该是走的 GCM
    Orzzzz
    Orzzzz
    Oct 20, 2015
    32
    你这个，逻辑有漏洞，这裤子爆出来不是一两天了，非得前几天账号沦陷？就这么巧？

    另外这么多账号同一个密码，我也是醉了， lastpass 是干啥的？
    irainsoft
    irainsoft
    Oct 20, 2015
    33
    先找能找到的社工库查你邮箱 把需要的网站密码改了
    binghe
    binghe
    Oct 20, 2015
    34
    还好我每次登陆都需要手机验证码认证才可以。不过我还有哪些密码和网易一样的，我现在一下子也想不起来了。。。
    binghe
    binghe
    Oct 20, 2015
    35
    @Zzzzzzzzz 我也差不多，已经完全记不清用网易注册了多少东西。。。。
    sogisha
    sogisha
    Oct 20, 2015❤️1
    36
    @jings 仍然有量子计算机解决不了的密码算法。

    例如，量子计算机虽然很快，但是爆破散列的速度也只是将 256 比特的散列降低到 128 比特（ SHA512 降低到 SHA256 还是很安全的）。然后，用散列就可以构建公钥签名算法（如 MSS 算法）。

    能抗量子计算机的公钥加密算法也是有的。例如 NTRUEncrypt 。
    tusj
    tusj
    Oct 20, 2015 via Smartisan T1
    37
    @tntsec 大哥，你是不是没有理解什么叫加盐啊？
    tntsec
    tntsec
    Oct 20, 2015
    38
    @tusj 本来我说哈希，他一说加盐我也加盐了。。看报道就是 MD5 没加盐
    pljhonglu
    pljhonglu
    Oct 20, 2015
    39
    目前来看泄露的是密文，应该不是撞库出来的。
    重要网站密码还是 3 个月改一次比较安全~
    kiwi95
    kiwi95
    Oct 20, 2015
    40
    应该有加盐吧，出了这么多事故，如果加盐都不做，真是太懒了
    zhangxiaoman
    zhangxiaoman
    Oct 20, 2015
    41
    我特么做个自己的小 demo 的登录都是 sha256 +salt + md5 ..

    233333
    zjuster
    zjuster
    Oct 20, 2015
    42
    密码要独立独立独立。重要的事情说三遍。
    jyf007
    jyf007
    Oct 20, 2015 via Android
    43
    墙内包括你站都是弱密码。
    Feiox
    Feiox
    Oct 20, 2015
    44
    如果采用 1024 位的哈希加盐，使用彩虹表爆破应该是没有希望了吧 ~

    但，我 TM 真的见过明文存密码的 ~ 有些小公司真的是够了
    jasonding
    jasonding
    Oct 20, 2015
    45
    12+数字加字母大小写，暴力破解要好久
    yuanzz
    yuanzz
    Oct 20, 2015
    46
    如果真的是加盐，就没这么多丢 iCloud 帐号的了。
    VmuTargh
    VmuTargh
    OP
    Oct 20, 2015 via Android
    47
    @Orzzzz 账号沦陷倒没有，但是已经从 7 年前形成的习惯……很难掰过来， lastpass 是一个和 1p 相似的提供密码在线存储的服务
    Clarencep
    Clarencep
    Oct 20, 2015
    48
    @tntsec “网易泄漏的是哈希密文，如果你的密码本身就够强壮，你不能担心被破解 ” -- 这个和你本身的密码强度其实关系不是太大，还是要看运气。比如你起了个长达 20 位的包含了各种特殊字符的密码 A ，网易存的是 B=md5(A)，但是如果 cracker 刚好用一个很短的 C 达成了 md5(C) = B ，那么他就完全可以用 C 作为密码登录你的账户....
    killerv
    killerv
    Oct 20, 2015
    49
    @zjuster 但是要想都记住不容易啊
    Orzzzz
    Orzzzz
    Oct 20, 2015
    50
    @VmuTargh 额……我的意思是说，你直接用 lastpass 管理密码不就好了吗……我一直用他们的服务，很赞。
    jings
    jings
    Oct 20, 2015
    51
    @sogisha 我只是在装逼，然而你竟然回了。
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1676 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 81ms · UTC 17:32 · PVG 01:32 · LAX 09:32 · JFK 12:32
    ♥ Do have faith in what you're doing.