Twoje pytanie zawiera kilka fałszywych założeń:

• Jeśli jesteś użytkownikiem dbającym o bezpieczeństwo, będziesz regularnie zmieniać hasła w każdej ważnej witrynie

Według mojego menedżera haseł mam ponad setki kont i większość z nich wyrządziłaby mi krzywdę, gdyby ktoś je włamał. Regularna zmiana ich wszystkich (jak co 90 dni) to ogromna praca. Dlatego zamiast tego używam silnych haseł generowanych przez menedżera haseł. Jednak niektóre usługi nadal zapisują hasła w postaci zwykłego tekstu.

• i dlatego wycieki nie będą miały na Ciebie wpływu.

Załóżmy, że będę zmieniać każde hasło co 90 dni. Nadal istnieje możliwość, że przez 89 dni moje konto zostanie przejęte, a osoba atakująca ma czas na zrobienie czegokolwiek, w tym zmianę hasła. Gdy wiesz, że Twoje konto znajduje się na liście, możesz działać natychmiast.

• Dlaczego nie zastosować właściwych praktyk bezpieczeństwa niezależnie od wycieków?

Zobacz poprzedni punkt.

• Dlaczego więc ludzie są tak zainteresowani korzystaniem z hadibeenpwned?

Aby wiedzieć, których kont dotyczy problem i dowiedzieć się, która usługa została zhakowana / skąd pochodzą.

Mając tę ​​wiedzę:

• Mogę natychmiast zmienić hasło.
• Wiem, która usługa jest mniej godna zaufania w przypadku poufnych danych, pieniędzy ... i mogę zamknąć swoją aktywność w tej usłudze.
• Jeśli ta usługa ma system przesyłania wiadomości, wiem, że jestem bardziej uważny na wiadomości od „znajomych”, ponieważ konto może zostać skradzione.
• Wiem, które z moich danych mogą zostać naruszone (dane w zhakowanej usłudze).

Zmiana haseł często nie jest już uważana za najlepszą praktykę.

HIBP ludzi interesuje się, ponieważ umożliwia centralizację informacji dotyczących naruszeń i ułatwia dostępny. Nie każdy jest użytkownikiem świadomym bezpieczeństwa, ale informacje są cenne dla wszystkich użytkowników, ponieważ niezależnie od praktyki dotyczącej wieku haseł, hasło powinno zostać zmienione natychmiast po stwierdzeniu naruszenia.

Regularna zmiana haseł ma w rzeczywistości tendencję do obniżania bezpieczeństwa, ponieważ ludzie w końcu używają powtarzających się wzorców.

Zaleca się używanie silnych haseł, unikalnych dla każdej usługi i zmienianie ich tylko wtedy, gdy istnieje podejrzenie naruszenia bezpieczeństwa.

HIBP wysyła powiadomienie o włamaniu.

Jest to przydatne, gdy Twój adres e-mail został ujawniony, ale nie jako część zestawu poświadczeń. Na przykład, miałem adres e-mail uwzględniony w naruszeniu, ale nie miałem konta w tej usłudze / produkcie, naruszenie faktycznie dotyczyło narzędzia marketingowego używanego przez usługę / produkt, z którego korzystałem używany, a mój adres e-mail został dodany do narzędzia w celach marketingowych.

Wiedząc, że mój adres e-mail został w ten sposób ujawniony, wiedziałem, że muszę uważać na zwiększoną liczbę prób spamu i phishingu.

Istnieje opcja monitorowania całych domen. Jest to bardzo przydatne, ponieważ nie wszyscy w firmie są jednakowo świadomi i nie przejmują się tak bardzo. Dzięki takiemu powiadomieniu jako administrator możesz np. wymuszaj dodatkowe zmiany haseł dla użytkowników z nowymi hasłami, które wyciekły.

Ponadto zwiększanie świadomości jest ważne samo w sobie.

Wszystkie pozostałe odpowiedzi dotyczą sprawdzonych metod. Spójrzmy jednak na pytanie facevalue: „Dlaczego ludzie nie stosują najlepszych praktyk (czymkolwiek by nie są) i zamiast tego korzystają z tej witryny”.

Największym problemem związanym z bezpieczeństwem jest czynnik ludzki. Taka jest ludzka natura. Aby poprawić bezpieczeństwo, musisz wziąć to pod uwagę.

Piszesz w pytaniu: „Świadomy bezpieczeństwa użytkownik by to zrobił”, ale potem pytasz „dlaczego ludzie są tak zainteresowani korzystaniem z hadibeenpwned?”. Dzieje się tak dlatego, że wiele osób, które są zainteresowane usługą, NIE jest świadomych bezpieczeństwa. Może są trochę świadomi, może właśnie usłyszeli na Facebooku o tej witrynie Neet.

Jeśli powiem mamie, żeby „śledziła właściwe praktyki bezpieczeństwa ”(i je wyjaśniła), nic by nie zrobiła.
Jeśli powiem mamie, żeby poszukała w tej witrynie jednego hasła / adresu e-mail, którego używa wszędzie, i pokaże jej, że jest zagrożona, prawdopodobnie przynajmniej się zmieni raz w ważnych witrynach.

Ostatecznie jest to kompromis dla użytkownika.
Gdyby nigdy nie włamał się na konto i nie odczuwał skutków, uzna to ryzyko za bardzo niskie, a koszt postępuj zgodnie z najlepszymi praktykami jako bardzo wysokie.
Sprawdzanie z drugiej strony jest bardzo niskie. Sprawdzanie tego samo w sobie zapewnia lepszą ocenę ryzyka. Jeśli jesteś zagrożony, teraz wiesz, że ryzyko dla Ciebie jest wysokie, więc jest bardziej prawdopodobne, że po odwiedzeniu witryny zastosują lepsze praktyki.

Jest to łatwiejsze i wygodniejsze, a zatem bardziej prawdopodobne stać się wirusowym. To jest coś, czym mogę się podzielić, a analfabeci z bezpieczeństwa mogą używać i czuć się dobrze, a także udostępniać. To także brama do dobrych praktyk bezpieczeństwa.

Dlaczego nie zastosować właściwych praktyk bezpieczeństwa niezależnie od jakichkolwiek wycieków?

Ponieważ regularna zmiana haseł nie jest niewłaściwą praktyką w zakresie bezpieczeństwa . Jest to hack i obejście.

Właściwą praktyką w zakresie bezpieczeństwa jest zmiana hasła za każdym razem, gdy masz powody, by sądzić, że zostało naruszone. Od dziesięciu lat mam niezmienione hasła roota, ponieważ nigdy nie było powodu, by podejrzewać, że doszło do kompromisu, więc byłoby nonsensem tworzenie kosztu zmiany hasła (choćby niewielkiego) bez powodu.

Radzimy regularnie zmieniać hasła, gdy śledzenie możliwości włamania staje się trudne lub kosztowne, a regularna zmiana jest prostsza i tańsza. Zasadniczo rozumowanie jest takie: „Jeśli nie mam pojęcia o prawdopodobieństwie złamania zabezpieczeń mojego hasła, wezmę tylko średnią statystyczną i nie będę ostrożny”.

Więc kiedy faktyczne dowody - takie jak havibeenpwned - wydają się, zawsze lepiej jest używać rzeczywistych danych zamiast szacowanej heurystyki.

dodatek:

Jeśli trochę przeszukujesz, możesz znaleźć wiele publikacji opowiadających się za przeciw regularnym zmianom haseł bez żadnego powodu. Zastrzeżenie: niektóre z nich są moje. Ten nonsens może być powszechną praktyką, ale a) nie czyni go dobrą praktyką ib) nadal nie oznacza, że ​​może utrzymać świecę w rzeczywistych danych .

Często zmiana haseł może być dobrą praktyką, jeśli używasz menedżera haseł. Jeśli nie, to zły pomysł, ponieważ nie można tak łatwo zapamiętać dobrych haseł.

Mniejszość ludzi korzysta z menedżera haseł. A nawet jeśli go używasz, podejrzewam, że nie zmieniasz tak często wszystkich swoich haseł. Są usługi, z których korzystam raz na dwa lub trzy lata. Albo że utworzyłem konto, ale mogę już nigdy go nie użyć. Czy chciałbym tam wrócić i co miesiąc zmieniać hasło?

Mam ponad 50 witryn wymienionych w moim menedżerze haseł. Zmiana tych wszystkich haseł mniej więcej co miesiąc wymagałaby po prostu dużo pracy.

Aby zabezpieczyć się przed oszustwami

Zauważam, że istnieje inna kwestia, której ludzie nie uwzględniali, a jedną z nich jest fałszowanie tożsamości i podszywanie się pod zagrożoną firmę, zmiana hasła nie ochroni Cię przed.

Na przykład oszuści często przechwytują informacje, które wyciekły, a następnie udają firmę, której informacje wyciekły , wykorzystując informacje, które uzyskano, aby przekonać Cię, że mają „legalny” dostęp do Twoich informacji. Dostawca usług internetowych TalkTalk często widzi, jak oszuści dzwonią, udając inżynierów usług TalkTalk, zwracając skradzione informacje jako „dowód”, że są autentyczne.

Podobnie, świadomość, którym firmom skradziono ich dane, pozwala ci wiedzieć, jakich wektorów oszuści będą próbowali użyć przeciwko tobie. Na przykład, szczegóły dotyczące Adobe zostały skradzione i jest całkiem możliwe, że oszust mógłby wysłać e-mail do osób, których konta były na Adobe, rzekomo „pilnej aktualizacji” oprogramowania Adobe, które faktycznie złośliwie pobiera i instaluje złośliwe oprogramowanie. Świadomość, że informacje wyciekły z Adobe, pozwala na podjęcie dodatkowych środków ostrożności.

Alternatywą jest sytuacja, w której ujawnione informacje dotyczą działania, którego wolisz nie ujawniać; możesz następnie podjąć rozsądne kroki, aby wyczyścić te informacje (takie jak usunięcie konta lub zmiana adresu e-mail).

Podsumowując; regularnie sprawdzałbyś, czy wiesz, co o tobie wiedzą inni ludzie (oszuści np. oszuści, oszuści tożsamości, szantażyści itp.).

Będę podążał za trendem i nie zgadzam się z innymi odpowiedziami:
Powinieneś regularnie zmieniać swoje hasła w usłudze, której nie ufasz, jeśli chodzi o bezpieczne przetwarzanie Twoich danych.
Możesz również regularnie sprawdzać swoje hasło menedżera takich witryn i zdecyduj, czy naprawdę potrzebujesz każdej z nich. Jeśli nie: wyślij wiadomość e-mail do usługodawcy i poproś o usunięcie konta i wszystkich powiązanych danych.

Wytyczne NIST dotyczące obsługi haseł:

Weryfikatory NIE POWINNY wymagać, aby zapamiętane sekrety ^{read: passwords} były dowolnie zmieniane (np. okresowo) . Jednak weryfikatorzy MUSZĄ wymusić zmianę, jeśli istnieją dowody na złamanie zabezpieczeń osoby uwierzytelniającej .

Kolekcja nr 1 - co jest tego przyczyną za niedawny szum wokół haveibeenpwned.com i Troy Hunt - jest doskonałym przykładem publikacji dowodów na kompromis.

Dlaczego? Ponieważ nie jest to nowy włamanie .
Brian Krebs, znany ekspert ds. Bezpieczeństwa, opublikował raport, w którym stwierdza się, że wszystkie dane zawierają co najmniej dwa do trzech lat. Jego raport zawiera ponadto to zdjęcie z wiarygodnej rozmowy ze sprzedawcą. Zrzut ekranu wszystkich pozostałych „kolekcji” (od jednej do pięciu) i dwóch innych ogromnych baz danych, które są sprzedawane z oświadczeniem, że zawierają one działające dane logowania. W sumie terabajt nieprzetworzonych danych od jednego sprzedawcy.

Więc co w tym kontekście oznacza „publikacja niepubliczna”? Jeśli masz silne hasło i jest ono odpowiednio zaszyfrowane, żaden atakujący nie będzie w stanie go złamać, bez względu na to, jak długo istniał zrzut hasła. Problem polega na tym, że wiele witryn nie haszuje poprawnie Twojego hasła. I tu znowu wkracza NIST. Dostosowali swoje wytyczne dotyczące zmiany haseł , ponieważ nie miało to sensu w odniesieniu do części wytycznych, która dotyczyła haszowania haseł i przechowywania skrótów .

Weryfikatorzy MUSZĄ przechowywać zapamiętane sekrety w formie odpornej na ataki offline. Zapamiętane sekrety MUSZĄ być zaszyfrowane i zaszyfrowane za pomocą odpowiedniej jednokierunkowej funkcji wyprowadzania klucza.

Co to wszystko oznacza?
Wniosek:

1. Przesłanka 1: Jeśli usługa bezpiecznie przechowuje skrót mojego hasła, arbitralne daty wygaśnięcia hasła nie mają większego sensu.
2. Przesłanka 2: Hacki zdarzają się cały czas, tylko ułamek zostaje zauważony i / lub publicznie ujawnione.
3. Jeśli jednak usługa nie szyfruje poprawnie Twojego hasła - a wiele usług tego nie robi - daty ważności haseł mają sens.
4. Skąd mam wiedzieć, które sklepy usługowe moje dane uwierzytelniające bezpiecznie? Niektóre certyfikaty zawierają pewne informacje na ten temat. Ale nawet firmy, które z zewnątrz wydają się bardzo profesjonalne, zawodzą. Małe firmy czasami radzą sobie bardzo dobrze. Trudno to stwierdzić.
5. Jeśli włamania zdarzają się cały czas, często dochodzi do włamań do haseł. Jak widzieliśmy, tylko część zhakowanych baz danych haseł można przeszukiwać na hadibeenpwned.
6. Dlatego regularnie zmieniaj hasło w witrynach, którym nie ufasz. Ponownie z zastrzeżeniem, że powinieneś używać menedżera haseł, aby uniknąć ponownego użycia hasła i, jeśli to możliwe, uwierzytelniania dwuskładnikowego lub uwierzytelniania wieloskładnikowego.