Chomikuj.pl wymusza zmianę hasła

Wszystkie działania podejmowane w związku z hasłami użytkowników budzą zrozumiałe zaniepokojenie użytkowników. Nie zawsze ich przyczyną jest włamanie do danego serwisu – czasem powodem może być również akcja zapobiegawcza.  Czy tak jest w przypadku Chomikuj.pl?

Jak donosi 14r33k,  jeden z naszych czytelników, popularny serwis Chomikuj.pl mógł właśnie rozpocząć akcje zmiany prostych haseł swoich użytkowników. Po zalogowaniu do serwisu niektórym użytkownikom pojawia się następujący komunikat.

Komunikat serwisu Chomikuj.pl

Wiadomość od serwisu sugeruje użycie słabego hasła przez użytkownika i wymusza jego zmianę. Wymagania wobec nowego hasła są całkiem sensowne – widzimy w nich dużą literę, cyfrę oraz znak specjalny. Obawy wzbudza tylko wymagana minimalna długość nowego hasła – ograniczenie jej do sześciu znaków w dzisiejszych czasach wydaje się za mało restrykcyjne.

Komunikat o konieczności zmiany hasła widzą jedynie użytkowcy, których hasło nie spełnia wyżej opisanych wymagań. Co ciekawe, do tej pory komunikat nie pokazał się na koncie, hasło do którego ma 8 znaków obejmujących jedynie małe litery i cyfry. Akcji zmiany haseł najwyraźniej nie towarzyszy także masowa wysyłka wiadomości email. Może to oznaczać, że akcja serwisu ma charakter prewencyjny i nie jest związana z włamaniem i wyciekiem haseł lub hashy użytkowników. Jeśli faktycznie Chomikuj.pl postanowiło poprawić bezpieczeństwo użytkowników zanim dojdzie do włamania do serwisu, pozostaje przekazać wyrazy uznania.

Aktualizacja: Jak pokazuje ten wątek na internetowym forum, zdarza się, że na dwa konta o tym samym haśle, jedno ma wymuszoną zmianę, drugie nie. Ciągle nie jest zauważalna reguła wymuszenia zmiany w zależności od złożoności hasła.
Aktualizacja 2: Otrzymaliśmy odpowiedź od Chomikuj.pl, którą cytujemy poniżej.
Otrzymaliśmy ostatnio e-mail od użytkownika, który dokonywał ataków typu brute-force i włamań do kont posiadających łatwe do odgadnięcia hasła i zagroził opublikowaniem listy odgadniętych loginów i haseł. Z tego powodu zdecydowaliśmy się na prewencyjną akcję wymuszającą zmianę hasła dla kont, które mogły posiadać tego typu łatwe do odgadnięcia hasło. Prośba zmiany hasła mogła także trafić do niektórych kont posiadających bardziej skomplikowane hasło – w tym przypadku zapewne zadecydowała heurystyka dotycząca liczby nieudanych logowań do konta w ostatnim czasie, z numerów IP podejrzewanych o dokonywanie tego typu ataków.
W celu poprawienia bezpieczeństwa wprowadziliśmy także miernik siły hasła, który pomoże użytkownikom wybrać trudniejsze do odgadnięcia hasło.
Chciałem jednak uspokoić, że nie miało miejsca żadne włamanie na serwery Chomikuj.pl.