I oktober 2020 avslöjades att den populära tjänsten Gravatar hade hackats och användarnamnen och hashade e-postadresser läckte ut. I maj 2014 drabbades Bitly av ett dataintrång som orsakade att e-postadresserna och hashade lösenord för nästan 10 miljoner användare läckte ut. Detta är bara några exempel på dataintrång. Vad kan du göra om din e-postadress, dina lösenord och dina hashade lösenord har varit en del av sådana överträdelser?
En mycket populär metod för att ta reda på om ditt användarnamn, e-postadress eller lösenord har varit en del av ett dataintrång är att göra en sökning på https://haveibeenpwned.com/. Där kan du omedelbart hitta information om huruvida ditt telefonnummer eller din e-postadress har varit en del av sådana överträdelser. Det kan också vara intressant att göra en sökning efter ditt lösenord på https://haveibeenpwned.com/Passwords.
Jag använder också en tjänst som heter Surfshark Alert, en del av min Surfshark-prenumeration. Jag har registrerat några av mina IP-adresser där och om någon av dem ingår i ett nyligen rapporterat dataintrång kommer jag omedelbart att få ett meddelande. Du kan också hitta en liknande funktion i lösenordshanteraren från NordVPN som heter NordPass.
Har din e-postadress och ditt lösenord läckt ut? Vad ska man göra?
Har du kontrollerat statusen för din e-postadress? Har adressen varit en del av några dataintrång? Det faktum att din e-postadress har läckt ut kanske inte är särskilt farligt i sig. Men kombinerades e-postadressen med mer information? Läckte e-postadressen ut tillsammans med ett 100% läsbart lösenord? Om så är fallet, ändra ditt lösenord så snabbt som möjligt. Har du använt samma e-postadress och lösenord på flera plattformar? Du bör ändra lösenordet på varje enskilt lösenord och bli av med de läckta lösenorden så snabbt som möjligt.
Är du registrerad på många webbplatser? Hur kan du komma ihåg varje lösenord om du använder olika lösenord överallt?
Det är inte en slump att lösenordshanterare är mycket populära (och nödvändiga). Dessa hjälper dig att skapa säkra lösenord och lagra dem på en säker plats. Som ett resultat är det enda lösenordet du behöver komma ihåg ditt mycket säkra huvudlösenord i kombination med din e-postadress. Resten är lösenordshanterarens arbete. Det finns massor av bra lösenordshanterare där ute. Personligen kan jag varmt rekommendera NordPass och LastPass.
Dessa lösenordshanterare kommer med webbläsartillägg och mobilapplikationer. Som ett resultat kommer du att ha alla dina lösenord lättillgängliga när du behöver dem.
Men vad händer om du har fått en varning om att din lösenordshash har läckt ut? Är det farligt? Vad betyder det att din lösenordshash har läckt ut?
Min lösenordshash har läckt ut. Är det farligt? Vad betyder det?
Kanske har ditt lösenord inte läckt ut, men din lösenordshash har läckt ut. Vad betyder det? Ska du oroa dig?
Vad är en lösenordshash?
Många tjänsteleverantörer lägger till ett extra lager av säkerhet när de lagrar sina användardata. Istället för att lagra ditt lösenord i vanliga ord och bokstäver kodar de det med olika hashingtekniker. Låt oss säga att du registrerar en ny användare på mynewwebsite.com med följande data.
- E-post: [email protected].
- Lösenord: 12345678
När leverantören hashar denna information kommer den att lagras i deras databas så här.
- E-post: [email protected] (om de skulle hasha det med MD5 skulle det vara: 4dec7aa05010e30721aa8714e9339a9e)
- Lösenord: 25d55ad283aa400af464c76d713c07ad (MD5), 7c222fb2927d828af22f592134e8932480637c0d (SHA1)
Ovan kan du se mitt lösenord 12345678 kodat med MD5 och SHA1-hashalgoritmen.
Om någon skulle se dessa data och försökte logga in med ditt konto på mynewwebsite.com med e-postadressen och hash, skulle det inte fungera. De skulle inte kunna logga in på ditt konto. Betyder det att du inte behöver oroa dig?
Behöver du oroa dig om din lösenordshash har läckt ut?
Det finns problem här som du bör vara medveten om. Om du använder samma hash-algoritm och kodar samma lösenord kommer resultathashen alltid att vara densamma. Vad betyder det här? Om du använder samma lösenord som jag gör (12345678) och använder samma hashingalgoritm får du samma resultat (hash). På grund av detta hittar du databaser som ansluter hash med ofta använda lösenord.
Om du går till https://crackstation.net/ och anger de två hasherna ovan ser du följande resultat.
Ser du vad jag ser? Jag lade helt enkelt till hasherna på webbplatsen ovan och det visade mig omedelbart vilken typ av algoritm som användes och vad det ursprungliga lösenordet var. Till en början kan hashen verka väldigt säker, men i verkligheten behöver den inte vara det. Har din lösenordshash varit en del av ett dataintrång? Jag rekommenderar att du besöker webbplatsen ovan och kontrollerar om din hash har exponerats i så kallade regnbågstabeller.
Lite salt kan ge dig extra skydd!
Som du kan se ovan kanske en lösenordshash inte skyddar dig mycket (om baslösenordet var ett välkänt lösenord). Hackare kommer att ha gott om datorkraft tillgänglig, vilket innebär att de snabbt kan testa din hash mot miljontals lösenord (med ordböcker och slumpmässiga bokstäver och siffror), vilket gör det ännu läskigare.
För att skydda oss mot sådana brute force-attacker har det blivit normalt att tillsätta salt till hash. Vad betyder det här?
I kryptografi är ett salt slumpmässiga data som används som en extra ingång till en enkelriktad funktion som hashar data, ett lösenord eller lösenfras.
Annons
Salt är här ytterligare data som läggs till i hash. Som ett resultat kommer ditt lösenord inte längre att krossas som 12345678, men du kommer att få en massa andra tecken tillagda i lösenordet dessutom. Nedan kan du se ett exempel på att jag kodar mitt lösenord med SHA256-algoritmen, med och utan salt.
- 12345678 (SHA256, utan salt) = ef797c8118f02dfb649607dd5d3f8c7623048c9c063d532cc95c5ed7a898a64f
- 12345678 (SHA256, med salt 1DoNtKn0w;-.,) = 9076e087e4a4da347685ee9ecc7b2b739cd3770ec3c9e8b703968c99d496200f
Som du kan se är hasherna helt olika, och det blir mycket svårare för någon att avkoda den andra hashen på grund av saltet som läggs till hash. Det blir mer och mer normalt att lägga till salt i hashade lösenord, men inte överallt.
Oavsett om en tjänst lägger till salt i din lösenordshash eller inte, bör du alltid använda säkra lösenord som kombinerar bokstäver, siffror och specialtecken, eftersom det är grunden för allt. Om ett sådant lösenord fortfarande är en del av ett dataintrång, ändra det snabbt. Eftersom du använder olika lösenord för alla dina konton kommer du fortfarande att vara säker!
Jag hoppas att den här artikeln har lyckats svara på de frågor du hade innan du kom för att läsa artikeln. Om ditt lösenord och/eller din lösenordshash har varit en del av dataintrång, var försiktig och vidta nödvändiga åtgärder för att skydda dina konton i framtiden.
Om du har ytterligare kommentarer eller frågor, vänligen använd kommentarfältet nedan.
