Troy Hunt, responsable de la página, ha anunciado que el componente "Pwned Passwords" es un proyecto de código abierto. Inicialmente Hunt llegó incluso a plantearse la venta del sitio dadas las dificultades a la hora de mantenerlo, pero tras meditarlo cuidadosamente ha querido aliarse con la fundación .NET para darle continuidad y mejorar sus funciones. El código de Pwned Passwords se puede encontrar desde ya mismo en GitHub, licenciado como BSD de tres cláusulas.
La gente visita el sitio HIBP gratuito tiene ya una tasa de casi mil millones de solicitudes por mes. Recopila datos de todas las infracciones de seguridad personal que ocurren cada semana o dos. Solo el año pasado vimos decenas de violaciones de datos. En el futuro, HIBP ahora también recibirá contraseñas comprometidas descubiertas en el curso de las investigaciones del FBI.
El fundador de HIBP, Troy Hunt, experto en seguridad y director regional de Microsoft, explicó que está utilizando el código de fuente abierta porque "la filosofía de HIBP siempre ha sido apoyar a la comunidad, ahora quiero que la comunidad ayude a respaldar HIBP". HIBP está escrito en .NET y se ejecuta en Azure.
Ayuda del FBI
¿Por qué se involucra el FBI? Porque Bryan A. Vorndran, subdirector de la División Cibernética del FBI, dijo: "Estamos entusiasmados de asociarnos con HIBP en este importante proyecto para proteger a las víctimas del robo de credenciales en línea. Es otro ejemplo de la importancia de las asociaciones público-privadas en la lucha contra el ciberdelito ".
HIPB en GitHub
Abrir el código del identificador de contraseñas robadas aportará una
mayor transparencia al proyecto y servirá para poder mejorar su
funcionamiento. Que por otro lado, no podría seguir adelante sin la
aportación de nuevas contraseñas vulneradas. La idea es que el sitio ya
no dependa tanto de la aparición de grandes listados de claves filtradas
o robadas sin fecha de obtención clara, sino facilitar la aportación de
material fresco y actualizado. Aquí es donde el FBI entra en escena.
Según
ha anunciado Hunt, además de abrir el código del identificador de
contraseñas, Have I been Pwned se beneficiará de una alianza por la cual
el FBI aportará a la base de datos contraseñas vulneradas que hayan
sido descubiertas durante sus intervenciones contra la
ciberdelincuencia. Dada la escala de algunas de sus operaciones (como la
destrucción de botnets con millones de víctimas), esto implica que Have I been Pwned podría recibir miles y miles de claves robadas procedentes de todo el mundo.
Parte técnica
Como cabe imaginar, en aras de la seguridad el FBI no proporcionará contraseñas per se, sino sus hashes criptográficos en SHA-1 y NTLM. Esto quiere decir que Have I been Pwned no recibirá claves identificables como tal, sino cadenas alfanuméricas generadas a partir de las claves para identificarlas. Estos hashes no pueden ser revertidos para descubrir las contraseñas de donde originaron, por lo que es un método totalmente válido y seguro para compartir información.
Actualmente Have I been Pwned posee una base de datos con los hashes de 613.584.246 contraseñas expuestas. Los internautas interesados en saber si su clave puede estar en peligro pueden introducirla aquí sin dar información identificable de ninguna clase para ver si ha aparecido en alguna filtración
.NET Foundation no es parte de Microsoft. Es una organización sin fines de lucro 501 (c) independiente de código abierto.
En un momento, Hunt había considerado vender HIBP. Con este movimiento de código abierto, este ya no parece ser el caso.
Fuentes:
https://www.elotrolado.net/noticias/internet/have-i-been-pwned-open-source-contrasenas-fbi
https://www.zdnet.com/article/have-i-been-pwned-goes-open-source/
No hay comentarios:
Publicar un comentario