为什么要检查已注册的电子邮件，而不考虑是否有任何泄漏而定期更改密码？

#1 楼

您的问题包含几个错误的假设：



如果您是安全意识强的用户，则可以在任何重要的网站上定期更改密码


，根据我的密码管理器，我有数百个帐户，如果遭到破坏，其中大多数会对我造成伤害。定期（例如每隔90天）更改所有这些内容是一项巨大的工作。因此，我改用了密码管理器生成的强密码。但是某些服务仍会以明文形式保存密码。



因此泄漏首先不会影响您。


假设我会每90天更改一次每个密码。仍然有89天的时间我的帐户被盗，攻击者有时间做任何事情，包括更改我的密码，都是有可能的。当您知道自己的帐户在列表中时，您可以立即采取行动。



为什么不遵循正确的安全做法，无论是否有泄漏？


请参阅上一点。




那么人们为什么对使用Haveibeenpwned如此感兴趣？


要知道哪个帐户受到影响，并找出哪个服务被黑客入侵/帐户来自何处。

有了以下知识：


我可以立即更改密码。
我知道哪个服务对敏感数据，金钱等不那么值得信赖，并且我可能会关闭该服务的活动。
如果该服务具有消息传递系统，我知道它会对来自“朋友”，因为该帐户可能被盗了。
我知道我的哪些数据可能会被盗用（被黑的服务中的数据）。

#2 楼

更改密码通常不再被视为最佳实践。

人们对HIBP感兴趣，因为它可以集中有关违规的信息并使之易于访问。并非每个人都是安全意识强的用户，但是该信息对于所有用户都是有价值的，因为无论您的密码使用期限有多长，都应在知道违规行为后立即更改密码。

#3 楼

实际上，定期更改密码会降低安全性，因为人们最终会使用重复的模式。

建议使用每个服务都独有的强密码，并且仅在怀疑有危害时才更改。 >
HIBP发出损害通知。

#4 楼

当您的电子邮件地址公开但不属于凭据集的一部分时，它会派上用场。例如，我有一个电子邮件地址包含在违规行为中，但我没有该服务/产品的帐户，该违规实际上是我所使用的服务/产品所使用的营销工具，已被添加到用于营销目的的工具中。

知道我的电子邮件地址已经被公开了，所以我知道要密切注意垃圾邮件和网络钓鱼的行为。

#5 楼

有一个选项可以监视整个域。这非常有用，因为并非公司中的每个人都同样了解或关心。有了这样的通知，作为管理员，您可以例如强制使用新泄露的密码为用户进行其他密码更改。

此外，提高认知度本身也很重要。

#6 楼

所有其他答案都讨论了最佳实践。但是，让我们从表面上质疑这个问题：“为什么人们不使用最佳实践（无论他们可能是什么），而是使用此网站”。

安全性中最大的问题是人为因素。这是人的本性。要提高安全性，您必须考虑到它。

您在问题中写道：“安全意识强的用户会这样做”，但随后又问“为什么人们对使用hadibeenpwned如此感兴趣？”。 br />嗯，那是因为很多对此服务感兴趣的人并不了解安全性。
也许他们有些有意识，也许他们只是在Facebook上听说过这个新网站。

如果我告诉妈妈“遵循正确的安全做法”（并向他们解释），她什么也不会做。
如果我告诉妈妈检查该网站以查找她在各处使用的一个密码/电子邮件，那么它向她显示它已被盗用，她可能至少会在重要的网站上对其进行一次更改。

最后，这对用户来说是一个折衷。
如果他从未有帐户被黑客入侵并感受到了影响，他会发现风险非常低，而遵循最佳实践的成本也非常高。
另一方面，检查已支付的费用非常低。并且对其进行检查本身可以为您提供更好的风险评估。如果您受到了侵害，您现在知道您面临的风险很高，因此他们更有可能在访问网站后遵循更好的做法。

因此，它更容易，更方便，因此更有可能去传播病毒。这是我可以分享的东西，不识字的安全人员也可以使用并感到满意和分享。它也是通向良好安全实践的门户。

#7 楼

为什么不漏任何泄漏就遵循正确的安全惯例？


因为定期更改密码不是正确的安全惯例。这是一个hack和变通方法。

正确的安全做法是，只要您有理由认为自己的密码已遭到破坏，就更改密码。我十年来一直没有更改过root密码，因为从来没有任何理由怀疑已经发生过泄露，因此无缘无故地创建密码更改（无论多么小）的代价是胡说八道。 >
定期更改密码的建议是在跟踪危害可能性变得困难或昂贵时使用的建议，并且定期更改比这更简单和便宜。基本上，原因是：“如果我不知道密码被泄露的可能性的线索，我会取一个统计平均值，但要谨慎一点。”

所以当出现实际证据（例如，havibeenpwned）时，总是最好使用实际数据，而不要使用任何推测的启发式方法。


附录：

很少，您会发现大量出版物无缘无故地主张定期更改密码。免责声明：其中一些是我的。这种胡说八道可能是一种常见的做法，但是a）并不是一种好的做法，而b）仍然并不意味着它可以为实际数据提供支持。

#8 楼

如果您使用密码管理器，则更改密码通常是一个好习惯。如果不是，那是个坏主意，因为您不容易记住容易记住的好密码。

少数人使用密码管理器。即使您确实使用过一个密码，我也怀疑您不会经常更改所有密码。我每两到三年使用一次服务。或我创建了一个帐户，但可能永远不会再使用了。我会每月回到那里更改密码吗？

密码管理器中列出了50多个站点。每个月左右更改所有这些密码将很繁琐。

#9 楼

为保护自己免受欺诈之害

我注意到人们没有涉及另一种考虑因素，其中之一就是身份欺诈和冒名顶替公司的冒名顶替，更改密码并不能保护您免受侵害。

例如，诈骗者通常会收集泄露的信息，然后假装成为其信息被泄露的公司，利用他们获得的信息说服您“合法”地访问了您的信息。 ISP TalkTalk经常看到诈骗者打电话来，假装是TalkTalk服务工程师，将窃取的信息反驳为他们是真实的“证据”。

同样，了解哪些公司的资料被窃取允许请注意，诈骗者会尝试使用哪些媒介来对您不利。例如，Adobe的详细信息已被盗，骗子很有可能会向其帐户在Adobe上的人邮寄邮件，这是他们Adobe软件的“紧急更新”，实际上是恶意下载和安装了恶意软件。知道Adobe泄漏了信息，因此您可以采取进一步的预防措施。

另一种方法是，泄漏的信息是否与您不想公开的活动有关；然后，您可以采取合理的步骤清除该信息（例如删除帐户或更改电子邮件地址）。

因此，总而言之；您将定期检查以确保您了解其他人（例如，诈骗者，身份欺诈者，勒索者等）对您的了解。

#10 楼

我会违背这种趋势，不同意其他答案：
您应该定期在不信任的服务上更改密码，以安全地处理数据。
还可以定期检查密码管理器这些网站，并确定您是否真的需要其中的每一个。如果不是，请发送电子邮件至服务提供商，并要求删除您的帐户和所有关联数据。

处理密码状态的NIST准则：


验证者不应该要求记住存储的秘密：密码可以任意更改（例如，定期更改）。但是，如果有证据证明认证方存在妥协，则验证者应强制进行更改。


集合1-这是最近在hadibeenpwned.com和Troy Hunt周围嗡嗡声的原因-公布妥协证据的一个很好的例子。

为什么？因为这不是新的漏洞。
著名安全专家布莱恩·克雷布斯（Brian Krebs）发表了一份报告，声称该报告中的所有数据至少存在两到三年。他的报告还包含与卖方进行可靠交谈后的这张照片。所有其他“集合”（一到五个）和随声称一起出售的其他两个大型数据库的屏幕快照，其中充满了有效的登录凭据。总而言之，是来自一个卖方的原始数据的TB。

那么，“非公开发行”时代在这种情况下意味着什么？如果您有一个强密码并且正确地对其进行了哈希处理，那么无论密码转储已存在多长时间，攻击者都将无法破解它。问题是，许多站点没有正确地哈希您的密码。这是NIST再次出现的地方。他们修改了指南以更改密码，因为对于处理哈希密码和存储哈希的指南部分而言，这毫无意义。


验证者应以能够抵抗离线攻击的形式存储存储的机密。存储的秘密应使用适当的单向密钥派生函数进行加密和散列。


那么，这到底意味着什么？
结论：


前提1：如果服务安全地存储了我的密码哈希，那么密码的任意到期日期就没有多大意义。
前提2：黑客一直无休止地发生，只有一小部分被注意到和/或公开披露。
但是，如果某项服务不能正确地对您的密码进行哈希处理-并且很多服务都无法做到这一点-密码的到期日确实很有意义。
我怎么知道哪个服务可以安全地存储我的凭据？一些证书为您提供了一些有关它的信息。但是，即使从外部看似非常专业的公司也会失败。小公司有时表现很好。这很难说。
如果黑客一直在发生，那么密码泄露也很经常发生。如我们所见，只有一部分被盗密码数据库可在hadibeenpwned上搜索。
因此，请定期在您不信任的网站上更改密码。再次提醒您，应该使用密码管理器来避免密码重复使用，并尽可能避免使用两因素身份验证或多因素身份验证。