Güncelleme 1: Beklendiği gibi, söz konusu web sitesi 6 Nisan 2021 Salı günü saat 7: 00’de CT itibariyle kapatıldı.
Güncelleme 2: Bazı okuyucular, HIBP’nin de aynı şeyi yaptığına dikkat çekti. Bu doğru. Aslında, HIBP söz konusu olduğunda, gerçek telefon numarasını bir GET isteğinde, hiçbir şey bilmeden gönderiyorlar! Ama sanırım mesele bu mu? HIBP, bu web sitesinden farklı olarak, telefon numaranıza erişemeyeceğine dair yanlış bir iddiada bulunmuyor!
Orijinal Gönderi
İnternet ilginç bir yer! Bir gemi süveyş kanalını tıkar ve birisi hızlı bir şekilde herkesin kafasındaki basit bir soruyu yanıtlamak için bir web sitesi oluşturur: gemi hala sıkışmış mı? (https://istheshipstillstuck.com/). Yaşasın! İnternet için bir kazanç!
Bir hafta sonra, Facebook verilerinin hazineleri sızdırılıyor ve birisi herkesin kafasındaki basit bir soruyu yanıtlamak için bir web sitesi oluşturuyor: Facebook’a girdim mi? (https://haveibeenfacebooked.com/) Yaşasın !? Err… belki, biraz, aslında bu, telefon numaranıza nasıl davrandığınıza bağlı.
Devam etmeden önce şunu sorabilirsiniz: Facebook ihlalinde verilerimin sızdırılıp sızdırılmadığını nasıl öğrenebilirim? Cevap şudur: HIBP veya https://haveibeenpwned.com/ kullanın. Bu sürecin teknik (ve sosyal) kısımlarına sahipler!
Web sitesinde yapılan iddia, telefon numaranızın asla tarayıcıdan çıkmamasıdır. Bu kesinlikle doğru. Ayrıca, bu hiçbir şey ifade etmiyor.
Aşağıdaki bu örnekte, telefon numaram olarak +1(111)111-1111 veriyorum. Üstün bir bakışta, “Ara” düğmesine bastığımda tarayıcıdan çıkan şey bir çeşit kriptografik karma gibi görünüyor.
Bu web sitesinin yazarlarının bu dizeye erişimi vardır. Google’a bu dizenin ne anlama geldiğini sormak burada yeterli. Gökkuşağı tabloları yok, GPU krakerleri yok, tersine mühendislik yok. Google’ın yararlı bir şekilde belirttiği gibi, arka uca gönderilen dize, telefon numarasının SHA256 karmasıdır. Bu durumda, google bu karmanın ön görüntüsünün 11111111111 olduğunu doğru bir şekilde gösterir.
Bir hash-> telefon numarası sözlüğü oluşturmak için tüm telefon numaralarını ve bunlara karşılık gelen hash değerlerini önceden hesaplamak sadece biraz çaba gerektirir. Sızıntıda yalnızca yarım milyar kayıt olduğu düşünüldüğünde, böyle bir hesaplama ortalama bir dizüstü bilgisayarda birkaç saniye sürebilir.
Telefon numaranızın geliştiricilere açık olmasını umursamıyorsanız – ki bu bu arada gayet iyi – o zaman devam edin ve numaranızı girin.
Web sitesi tarafından girilen telefon numaralarının arka uca gönderilmediği iddiası yanlış bir gizlilik duygusu verir. Gerçek şu ki, arka uca gönderilenler önemsiz bir şekilde orijinal telefon numarasına geri döndürülebilir.
Bu arada, Facebook’un henüz alan adı ihlali nedeniyle onlara bir Kes-Ve-Bırak göndermemesine hala şaşırıyorum!