Миллион паролей от Яндекс почты утекли в сеть

Изначально моя реакция была типо такой

Но когда я полез смотреть, то в списке оказался мой старый ящик........Яндекс печалька. Теперь буду использовать Gmail

Мне кажется, что пароли все же утекли в сеть потому, что:

а) они были предельно просты

б) пользователи не соблюдают элементарные правила безопасности

Конечно, найдутся и исключения.

По поводу скачивания баз:

Уважаемые форумчане! За безобидную на первый взгляд проверку пары-тройки ящиков (даже если Вы там ничего не удаляли и не изменяли), Вы можете получить в лучшем случае штраф до 200-300 т.р., в худшем - реальный уголовный срок в районе пары лет.

Оно Вам надо? Предоставьте возможность решать технические вопросы безопасности пользователей службе специалистов почтовых сервисов. Они за это вообще то получают зарплаты и премию. :)

Здесь вообще-то люди проверяют наличие СВОИХ адресов в базе.

Вы серьёзно? Сколько ждать? А вы случайно в число этих "специалистов" не входите?

Продолжаю смеяться над твоими постами. Человек пишет про то чтобы не вздумали заходить в чужие ящики, а ты фантазируешь на тему что люди проверяют свои ящики по базе. Хаааха.

Что серьезно? Оставить решение проблем на плечи тех у кого украли ящики и работникам яндекса? Или ты таки предлагаешь заходить и менять пароли пока не украдут ящик злые люди, но ты то весь в белом, да? :)

да шыло.ру отправилось следом

http://habrahabr.ru/post/236077/

Ответ от них такой

Все это выглядит очень забавно, и мне хотелось бы присоединиться к зубоскальству над простодушными юзерами, которых ломают все кому не лень, если бы не один простой вопрос:

почему в яндекс-списке оказались не активно используемые мною ежедневно ящики, а тот, в который захожу пару раз в год и с которого вообще не веду переписку? Он мне нужен был только для яндекс-вебмастера. Пароли совсем не простыми, с разными регистрами, работаю чаще всего из-под линуксов.. странно все это.

Наткнулся на забавное исследование одного иностранца. Он выискивает сайты из ТОПа Alexa, которые подозреваются в хранении юзерских паролей в plaintext: https://defuse.ca/password-policy-hall-of-shame.htm

Там в списке есть и яндейкс, и мейл.ру, и еще много кто. Как я понимаю логику этого специалиста: если у сайта имеется необоснованное ограничение на максимальную длину пароля => следовательно в БД предусмотрено поле под этот пароль определенной длины.

Я, кстати, тоже не вижу никакой причины ограничивать максимальную длину пароля - хешированию по-барабану, какого размера пароль.

Не совсем так, можно нарваться на коллизии. Собственно потому у яндекса до сих пор макс длинна пароля 16 символов, но обещали убрать.

Не очень понимаю - ну у двух разных юзеров окажется одинаковый хеш, или у двух юзеров одинаковый пароль - в чем беда?

А у сотрутников тех сервисов отмазка по какой статье какого закона?

И не кажется ли вам, что предупреждать надо было раньше? Журналюги всё уже проверили, пока никого не посадили, если верить СМИ.

А с какого перепугу пробел нельзя юзать? И не только и яшы..

Я из-за этого профукал свою древнюю аскьу, когда она перешла к мылуру - не пускало, пришлось менять пароль и.. забыл его, потому как были большие перерывы в юзании аськи..

Сам придумал? Или закон покажешь?