Troy Hunt, responsable de la página, ha anunciado que el componente "Pwned Passwords" es un proyecto de código abierto. Inicialmente Hunt llegó incluso a plantearse la venta del sitio dadas las dificultades a la hora de mantenerlo, pero tras meditarlo cuidadosamente ha querido aliarse con la fundación .NET para darle continuidad y mejorar sus funciones. El código de Pwned Passwords se puede encontrar desde ya mismo en GitHub, licenciado como BSD de tres cláusulas.

La gente visita el sitio HIBP gratuito tiene ya  una tasa de casi mil millones de solicitudes por mes. Recopila datos de todas las infracciones de seguridad personal que ocurren cada semana o dos. Solo el año pasado vimos decenas de violaciones de datos. En el futuro, HIBP ahora también recibirá contraseñas comprometidas descubiertas en el curso de las investigaciones del FBI.

El fundador de HIBP, Troy Hunt, experto en seguridad y director regional de Microsoft, explicó que está utilizando el código de fuente abierta porque "la filosofía de HIBP siempre ha sido apoyar a la comunidad, ahora quiero que la comunidad ayude a respaldar HIBP". HIBP está escrito en .NET y se ejecuta en Azure.

Ayuda del FBI

¿Por qué se involucra el FBI? Porque Bryan A. Vorndran, subdirector de la División Cibernética del FBI, dijo: "Estamos entusiasmados de asociarnos con HIBP en este importante proyecto para proteger a las víctimas del robo de credenciales en línea. Es otro ejemplo de la importancia de las asociaciones público-privadas en la lucha contra el ciberdelito ".

HIPB en GitHub

Abrir el código del identificador de contraseñas robadas aportará una mayor transparencia al proyecto y servirá para poder mejorar su funcionamiento. Que por otro lado, no podría seguir adelante sin la aportación de nuevas contraseñas vulneradas. La idea es que el sitio ya no dependa tanto de la aparición de grandes listados de claves filtradas o robadas sin fecha de obtención clara, sino facilitar la aportación de material fresco y actualizado. Aquí es donde el FBI entra en escena.

Según ha anunciado Hunt, además de abrir el código del identificador de contraseñas, Have I been Pwned se beneficiará de una alianza por la cual el FBI aportará a la base de datos contraseñas vulneradas que hayan sido descubiertas durante sus intervenciones contra la ciberdelincuencia. Dada la escala de algunas de sus operaciones (como la destrucción de botnets con millones de víctimas), esto implica que Have I been Pwned podría recibir miles y miles de claves robadas procedentes de todo el mundo.

Parte técnica

Como cabe imaginar, en aras de la seguridad el FBI no proporcionará contraseñas per se, sino sus hashes criptográficos en SHA-1 y NTLM. Esto quiere decir que Have I been Pwned no recibirá claves identificables como tal, sino cadenas alfanuméricas generadas a partir de las claves para identificarlas. Estos hashes no pueden ser revertidos para descubrir las contraseñas de donde originaron, por lo que es un método totalmente válido y seguro para compartir información.

Actualmente Have I been Pwned posee una base de datos con los hashes de 613.584.246 contraseñas expuestas. Los internautas interesados en saber si su clave puede estar en peligro pueden introducirla aquí sin dar información identificable de ninguna clase para ver si ha aparecido en alguna filtración

.NET Foundation no es parte de Microsoft. Es una organización sin fines de lucro 501 (c) independiente de código abierto.

En un momento, Hunt había considerado vender HIBP. Con este movimiento de código abierto, este ya no parece ser el caso.

Fuentes:

https://www.elotrolado.net/noticias/internet/have-i-been-pwned-open-source-contrasenas-fbi

https://www.zdnet.com/article/have-i-been-pwned-goes-open-source/