Nowy serwis w Orange - Hasło Alert

[j131]

Jeszcze jedna uwaga, do tego serwisu który nasz zaprzyjaźniony ekspert @Rosiu reklamował w tym materiale, czyli bazy danych o wyciekach haseł do kont emailowych.

Wygląda na to, że to dość bezsensowna kopia istniejących baz danych które są i tak w internecie dostępne. Jedyne co ten serwis robi nowego, to kolekcjonuje nasze działające adresy emailowe. 

Problem z ostrzeżeniami przez ten serwis generowanymi jest taki, że nie uwzględnia on zmian - wycieki sprzed siedmiu lat są traktowane dokładnie tak samo jak najnowsze. Tymczasem wyciek sprzed siedmiu lat to już zeszłoroczny śnieg.
Propozycja: jeśli Orange chce tu wnieść jakąś wartość dodaną, to niech umożliwi informację zwrotną i korektę bazy danych. Tak żebym na wyciek z 2019 roku mógł przestać otrzymywać ostrzeżenia, bo już wtedy hasło zostało zmienione i do przejęcia konta nie doszło. Wtedy baza nie byłaby też bezmyślną kopią istniejących serwisów.

________________
* Wydzieliłem z tematu [14:00 23.01.2025] 🎥Webinar - "Co dobrego w Orange w 2024 roku" – moderator Michał

[Rosiu]

Każdy ma prawo do swojej opinii, choć z określeniem "bezsensowna kopia baz danych, które i tak są w internecie dostępne" skrajnie się nie zgadzam.

Jak widziałbyś tę korektę bazy danych? W rozumieniu prawa byłoby to przetwarzanie danych pochodzących z przestępstwa. Absolutnie nie wolno nam tego robić.

Oczywiście, że są w inter/dark-necie. Pytanie brzmi ilu userów jest na tyle biegłych, żeby sobie te wszystkie bazy przeszukać? Bezmyślna kopia istniejących serwisów? Stawiam duże pieniądze, że większości tych danych nie znajdziesz w HIBP i innych.

Wartość dodana Hasło Alert to w mojej opinii sprofilowanie serwisu pod polskich internautów i fakt, że w bazie są wyłącznie wycieki zawierające parę login-hasło. Jeśli z jakiejś bazy pociekła np. Twoja lista zakupów i login, albo hasło jest na tyle mocne, że nie zostało złamane - nie będzie go Hasło Alert.

Czy fakt otrzymania info o wycieku z 2019 jest zły? Mnie by nie martwił, skoro i tak wiem, że hasło zmieniłem. A zapisując się na subskrypcję, dostanę to info raz. A jak inaczej wyobrażasz sobie traktowanie takiego wycieku? Wyciek to wyciek.

Być może moja wypowiedź brzmi nieco emocjonalnie i w sumie chyba trochę taka jest. Wiem jak wyglądała praca nad powołaniem Hasło Alert do życia i personalnie trochę mnie bolą uwagi, które w mojej opinii nie są słuszne. No ale to forum, znamy się i zderzamy opinie. Myślę, że to jest spoko, gdy robimy to z szacunkiem.

Do modów - może by stworzyć oddzielny wątek o Hasło Alert i tam moglibyśmy rozmawiać o Waszych uwagach i o tym, co możemy poprawić/zmienić, a czego nie.

[ŁysaKaszankaINC]

@Rosiu czy wyciek pańskiego numeru telefonu to przypadek czy honeypot?

[Rosiu]

Na Pana to trzeba mieć wygląd. I hajs. Przede wszystkim hajs.

To po prostu dowód, że nawet ekspert cybersec się czasem pomyli.

[pirenej]

Rosiu jest jednym z niewielu pracujących w Orange mających odwagę (a może przyzwolenie?) wypowiadać się tutaj. Szanujmy go.

[j131]

@Rosiu 

Przede wszystkim przepraszam jeśli poczułeś się urażony tonem mojej wypowiedzi. Zapewniam, że mam ogromny szacunek zarówno do działań CERT w ogóle, CERT Orange w szczególności a także do Twoich działań zarówno z zakresu cybersecurity jak i tutaj na NO. Tak że jeszcze raz sorry.

A co do meritum: no dobra, może użyłem zbyt ostrego przymiotnika, ale fakt jest faktem, że jak sam piszesz jest to tylko (i aż) kopia.

Jak sobie wyobrażam interakcję? Jako dodatkową bazę danych w której można by "odptaszkować" konkretny wyciek i go nie raportować. Rozumiem, że zapisanie się na alert też tę sprawę załatwia, ale nie każdy lubi zapisywać się na listy.

[pirenej]

wystarczy, że baza będzie opatrzona datą publikacji lub zmian. A nawet listą dat zmian.

[j131]

Ostatnio, zachęcony przez @Rosiu pomyszkowałem trochę po stronach CERT Orange i trafiłem na materiał z 7 marca dotyczący mega-wycieku (Alien TXTBase) haseł do kont emailowych i stron. Postanowiłem więc sprawdzić raz jeszcze wszystkie "moje" najważniejsze adresy emailowe, w usłudze będącej tematem tego wątku (Hasło Alert). Pamiętam oczywiście, że jeden z adresów był już poprzednio raportowany (o czym jednak wiedziałem wcześniej, jeszcze przed 2017 rokiem problematyczne konto zostało zabezpieczone), ale nie chcę zapisywać się na żadne alerty, więc liczyłem się z ponownym ostrzeżeniem.

Po ponownym sprawdzeniu okazuje się że to samo konto "wyciekło" i teraz, z tym samym(?) co poprzednio, od dekady nieaktualnym hasłem.

No niby to dobrze, bo w sumie false positive jest mniej problematyczny niż false negative, ale zastanawiam się które dane są faktycznie aktualne. Rozumiem że nie możecie tego w żaden sposób sprawdzać, czy może jednak?...

[bronzub]

@Rosiu , jak dla takiego przeciętniaka typu senior bez barier 😀, to ta , że tak ujmę, wielotorowa droga alertów, w tym bezpośrednio z https://cert.orange.pl/hasloalert/, ma sens. Można także z aplikacji MO, tylko czemu raz zasubskrybowany adres mailowy testowałem aż trzykrotnie? Powinno być oznajmione, że to już masz i się nie martw. A tak, daj nam chwilę, aż sprawdzimy. Podejrzewam, że mógłbym tak w koło Macieju, lecz mi się nie chce prowadzić testów bo i po co, jak otrzymałem pozytywną odpowiedź? Czy 2FA Authenticator u mnie działa tylko na webowym koncie MO, bo mam neo i stacjonarny w pakiecie OL ze smartfonem? W appce tego nie ma, tylko HasłoAlert dla subskrypcji jednego adresu mailowego. A tak się składa, że w systemie Orange mam dwa adresy mailowe i tylko CERT umożliwił mi dzisiaj sprawdzenie obydwu. W appce nie ma możliwości zmiany i musiałbym prosić o ujednolicenie. Tego się obawiam, bo dopiero co @Wiktor pomagał mi z moim mailem. A powiadomienia przychodziły mi na oba adresy, a i jazda była jak na rolecosterze😀