Have I Been Pwned? (HIBP; «Pwned» вимовляється як «poned», і стилізований у нижньому регістрі як «';--have me pwned?» на вебсайті) — це вебсайт, який дозволяє користувачам Інтернету перевірити, чи були їх особисті дані скомпрометовані витоками даних. Сервіс збирає та аналізує сотні і публікацій, що містять інформацію про мільярди облікових записів, які витікали, і дозволяє користувачам шукати власну інформацію, вводячи своє ім'я користувача або адресу електронної пошти. Користувачі також можуть зареєструватися, щоб отримувати сповіщення, якщо їхня адреса електронної пошти з'явиться в майбутніх дампах. Сайт широко рекламується як цінний ресурс для користувачів Інтернету, які бажають захистити власну безпеку та приватність. HIBP був створений експертом з безпеки 4 грудня 2013 року.

Станом на червень 2019 року, Have I Been Pwned? мав у середньому близько ста шістдесяти тисяч щоденних відвідувачів, сайт має майже три мільйони активних передплатників електронної пошти та містить записи про майже вісім мільярдів облікових записів.

Особливості Основна функція Have I Been Pwned? з моменту його запуску — надавати широкій громадськості засіб перевірити, чи не було витоку їх приватної інформації чи злому. Відвідувачі вебсайту можуть ввести адресу електронної пошти та побачити список усіх відомих порушень даних із записами, пов'язаними з цією адресою електронної пошти. На вебсайті також надається детальна інформація про кожне порушення даних, наприклад, історія порушення та які конкретні типи даних були включені в нього.

У вересні 2014 року Хант додав функціональні можливості, які дозволили автоматично додавати нові порушення даних до бази даних HIBP. Нова функція використовувала Dump Monitor, бота Twitter, який виявляє та транслює ймовірні дампи паролів, знайдені у пастах pastebin, щоб автоматично додавати нові потенційні порушення в режимі реального часу. Порушення даних часто з'являються на пастебінах до того, як про них повідомить широке коло осіб, таким чином, моніторинг цього джерела дозволяє споживачам отримувати сповіщення швидше, якщо вони були скомпрометовані.

Поряд з подробицями про те, які облікові записи електронної пошти постраждали від події витоку даних, вебсайт також вказує тим, хто з'являється в їхній базі даних, встановити менеджер паролів, а саме 1Password, який нещодавно схвалив Трой Хант. Онлайн-пояснення на його сайті пояснює свої мотиви та стверджує, що грошова вигода не є метою цього партнерства.

Скомпрометовані паролі У серпні 2017 року Хант оприлюднив 306 мільйонів паролів, до яких можна було отримати доступ за допомогою вебпошуку або масово завантажити.

У лютому 2018 року британський інформатик Джунаде Алі створив протокол зв'язку (використовуючи k-анонімність і криптографічне хешування), щоб анонімно перевірити, чи був витік пароля без повного розкриття шуканого пароля. Цей протокол був реалізований як загальнодоступний API у службі Хантом, і тепер він використовується багатьма вебсайтами та службами, включаючи менеджери паролів і розширення браузера. Пізніше цей підхід був відтворений функцією перевірки пароля Google. Алі працював з науковцями Корнелльського університету, щоб формально проаналізувати протокол, щоб визначити обмеження та розробити дві нові версії цього протоколу, відомі як «Букетизація за частотою» та «Бакетизація на основі ідентифікатора». У березні 2020 року до цього протоколу було додано .

Історія

Запуск

Наприкінці 2013 року експерт із веббезпеки Трой Хант аналізував витоки даних на предмет тенденцій та закономірностей. Він зрозумів, що порушення можуть сильно вплинути на користувачів, які навіть не підозрюють, що їхні дані зламані, і в результаті почав розробляти HIBP. «Ймовірно, головним каталізатором була Adobe», — сказав Хант про свою мотивацію створення сайту, маючи на увазі порушення безпеки Adobe Systems, яке вплинуло на 153 мільйони облікових записів у жовтні 2013 року.

Хант запустив Have I Been Pwned? 4 грудня 2013 року з оголошенням у своєму блозі. На той момент на сайті було проіндексовано лише п'ять випадків злому даних: Adobe Systems, Stratfor, Gawker, Yahoo! Voices та Sony Pictures. Однак тепер сайт мав функціональні можливості для легкого додавання майбутніх порушень, щойно вони були оприлюднені. Хант написав:

Витоки даних З моменту його запуску основним напрямком розвитку HIBP було якнайшвидше додавання нових порушень даних після їх витоку.

У липні 2015 року служба онлайн-знайомств Ashley Madison, відома тим, що заохочує користувачів мати позашлюбні афери, постраждала від , і дані понад 30 мільйонів користувачів сервісу злили у відкритий доступ. Злочин отримав широке висвітлення в ЗМІ, імовірно, через велику кількість постраждалих користувачів і уявлення про сором мати роман. За словами Ханта, публічність порушення призвела до збільшення трафіку до HIBP на 57 000 %. Після цього порушення Хант додав функції до HIBP, завдяки яким порушення, які вважаються «чутливими», не будуть доступними для загального пошуку, і буде відкрито лише для передплатників системи сповіщень електронною поштою. Ця функція була ввімкнена для даних Ashley Madison, а також для даних з інших потенційно скандальних сайтів, таких як Adult FriendFinder.

У жовтні 2015 року з Хантом зв'язалося анонімне джерело, яке надало йому дамп електронних адрес 13,5 мільйонів користувачів і паролів із відкритим текстом, стверджуючи, що це надійшло від 000webhost, постачальника безкоштовного вебхостингу. Працюючи з Томасом Фоксом-Брустером із Forbes, він підтвердив, що дамп, швидше за все, справжній, перевіривши його електронні адреси та підтвердивши конфіденційну інформацію з кількома клієнтами 000webhost. Хант і Фокс-Брустер багато разів намагалися зв'язатися з 000webhost, щоб додатково підтвердити справжність порушення, але не змогли отримати відповідь. 29 жовтня 2015 року, після скидання всіх паролів та публікації статті Fox-Brewster про злом, 000webhost оголосив про порушення даних через свою сторінку Facebook.

На початку листопада 2015 року Paysafe Group, материнська компанія обох провайдерів оплати азартних ігор Neteller і Skrill, підтвердила, що дві витоки у провайдерів є справжніми. Дані включали 3,6 мільйона записів від Neteller, отриманих у 2009 році за допомогою експлойту в Joomla, і 4,2 мільйона записів від Skrill (тоді відомого як Moneybookers), які просочилися в 2010 році після того, як віртуальна приватна мережа була скомпрометована. Об'єднані 7,8 мільйона записів були додані до бази даних HIBP.

Пізніше того ж місяця виробник електронних іграшок був зламаний, а анонімне джерело приватно надало HIBP базу даних, що містить майже п'ять мільйонів записів батьків. За словами Ханта, це було четверте за масштабами порушення на сьогодні.

У травні 2016 року за короткий проміжок часу було оприлюднено безпрецедентну серію дуже великих витоків даних, які сталися кілька років тому. Ці порушення включали 360 мільйонів облікових записів Myspace приблизно з 2009 року, 164 мільйони облікових записів LinkedIn з 2012 року, 65 мільйонів облікових записів Tumblr з початку 2013 року та 40 мільйонів облікових записів у службі знайомств для дорослих Fling.com. Усі ці набори даних були виставлені на продаж анонімним хакером на ім'я «peace_of_mind», і незабаром після цього були надані Ханту для включення до HIBP. У червні 2016 року до бази даних HIBP було додано додатковий «мегазлом» 171 мільйона акаунтів із російської соціальної мережі VK.

У серпні 2017 року в BBC News було HIBP повідомив про виявлення Хантом операції розсилки спаму, яка використовувала список із 711,5 мільйонів електронних адрес.

Невдала спроба продати У середині червня 2019 року Хант оголосив про плани продати Have I Been Pwned? до організації, яка ще не визначена. У своєму блозі він окреслив свої побажання зменшити особистий стрес і розширити сайт за межі того, що він міг зробити сам. На момент публікації в блозі він працював з KPMG, щоб знайти компанії, які він вважав придатними, які були б зацікавлені в придбанні. Однак у березні 2020 року він оголосив у своєму блозі, що Have I Been Pwned? залишатиметься незалежним у доступному для огляду майбутньому.

Відкриття коду 7 серпня 2020 року Хант оголосив у своєму блозі про свій намір відкрити вихідний код кодової бази Have I Been Pwned?. Він почав публікувати деякий код 28 травня 2021 року.

Брендинг Назва «Have I Been Pwned?» заснований на жаргонному терміні «pwn», використовуваний script kiddie, що означає «компрометувати або взяти під контроль, зокрема, інший комп'ютер або програму».

Логотип HIBP містить текст ';--, який є поширеним рядком атаки SQL-ін'єкції. Хакер, який намагається отримати контроль над базою даних вебсайту, може використовувати такий рядок атаки, щоб маніпулювати вебсайтом, щоб він запускав шкідливий код. Ін'єкційні атаки є одним із найпоширеніших векторів, за допомогою яких може статися злом бази даних; вони є найпоширенішою уразливістю вебдодатків № 1 у списку 10 найкращих OWASP.

Див. також Firefox Monitor

Примітки

Джерела Офіційний вебсайт Анонс у пості Have I Been Pwned? на troyhunt.com