Анализ паролей пользователей Windows Live Hotmail
И вновь появилась новость о том, что по сети гуляет база учетных записей пользователей. На этот раз "под раздачу" попали пользователи Windows Live Mail . В первоисточнике сообщается, что в сети опубликовано более чем 10.000 паролей пользователей почтовой службы Hotmail . Ваш покорный слуга не мог пройти мимо, и недолгое гугление привело к истинному первоисточнику сего деяния . В настоящее время сервер pastebin.com работает нестабильно, а вот кеш google работает очень даже замечательно:) 
Итак, во-первых, список опубликованных и отсортированных (без повторений) учетных записей начинается с буквы "a" и заканчивается буквой "b". Это свидетельствует о том, что полный список пользователей куда больше опубликованного в сети. Если предположить, что на каждую первую букву английского алфавита в списке приходится порядка 4.000-5.000 записей, то не трудно подсчитать, что полный список скомпрометированных учетных записей может достигать 150.000.
Во-вторых, из опубликованного списка в 10.028 записей, только 9.238 являются корректными. Если еще учитывать ограничивающую политику Hotmail, накладываемую при задании паролей (длина паролей не должна быть менее 6-ти символов), то результирующее количество "правильных" учетных записей в опубликованном списке содержится всего 8.250.
Результаты по используемому набору символов (charset) по всему списку паролей:
www.securitylab.ru
14.10.2009 (11:49)
Ну и что? Давно ясно было, что почти никто нормальные пароли не использует. Гораздо интереснее, как эти пароли вообще утекли? Я не верю, что всё дело в фишинге. С ним как раз сервисы типа хотмыла очень неплохо борются. Я уверен, что данные слил кто-то из сотрудников сайта. Почему я так в этом уверен? Потому что я профессионально занимаюсь защитой от утечек информации и после внедрения у нас в банке системы "Контур информационной безопасности СофтИнформ" мною выявлено больше двух десятков попыток "слить" информацию - и это всего за каких-то полгода! Сейчас, по ходу, ещё больше будет выявляться, потому что в новой версии есть поддержка скайпа и интеграция с Active Directory, это всё реально удобно. Можете сказать, что у меня паранойя, но я считаю, что фишингом бы столько паролей не выудили, а значит, MS надо попробовать что-то типа нашего "Контура".