Slo-Tech - Pred štirimi leti je bil LinkedIn tarča hekerskega napada, v katerem so napadalci izmaknili vsaj 6,5 milijona uporabniških imen in gesel, ki so bila sicer šifrirana, a brez naključnega parametra (unsalted). Sedaj se je izkazalo, da je bil vdor bistveno obsežnejši, kot smo sprva mislili. LinkedIn je sporočil, da je bilo odtujenih vsaj 100 milijonov gesel in uporabniških imen, zaščitenih na enako slab način.
Na internetu se je pojavila nova šarža uporabniških imen in gesel, ki jo prodaja heker z vzdevkom Peace in ki vsebuje podatke 117 milijonov uporabnikov LinkedIna iz leta 2012. Za paket na ilegalni tržnici The Real Deal zahteva 2200 dolarje v bitcoinih. Isti podatki naj bi bili tudi pri LeakedSource. Skupno je računov 167 milijonov, a jih 50 milijonov nima kompletnih podatkov, torej imena in gesla. Pri LeakSource so Motherboardu posredovali milijon gesel, da so potrdili avtentičnost zbirke, in zatrdili, da so v 72 urah uspeli zlomiti več kot 90 odstotkov gesel, ker so shranjena kot unsalted.
LinkedIn je začel obveščati dodatne žrtve vdora (izpred štirih let!) in blokirati njihova gesla. Če ste isto geslo uporabili še kje drugje, ga zamenjajte tudi tam.
Ne shranjujejo v originalni formi - se kriptira, vendar niso uporabili dodatnega random parametra. Tako se lahko na enostaven način naredi decript, ko uspeš razbiti enega še ostale. Če se uporabi dodaten random parameter pa to oteži zadeve.
Odlikovani inženirji na LinkedInu torej shranjujejo kočljive podatke v orginalni formi ali kako si lahko razlagamo te novice?
Ne, novica pravi, da so bila gesla shranjena šifrirana, vendar ne zasoljena. Kar je sicer še vedno varnostno slabo. Vendar bolj zanimivo je to, da so jih v zelo kratkem času uspeli 90% zlomiti z brute force napadom (mavrične tabele bi rekel pri tako kratkem času), kar pomeni, da je bilo 90% gesel skrajno šibkih. Če uporabnik danes uporabi enobesedno preprosto geslo za karkoli, no, je bunkelj. Jasno je, da je prva obrambna črta danes upravljanje z lastnimi gesli, ne zanašanje na neke bedaste spletne storitve, na katere nimaš nobenega vpliva.
42,691,862 unique passwords recovered so far; 69% of the unique hashes have cracked at this point.
Of the total 177,500,189 non-unique hashes leaked, there are 143,914,964 password hashes cracked, 33,585,225 left. That represents 81.07% of all LinkedIn.com users in the dump.
Odlikovani inženirji na LinkedInu torej shranjujejo kočljive podatke v orginalni formi ali kako si lahko razlagamo te novice?
Ne, novica pravi, da so bila gesla shranjena šifrirana, vendar ne zasoljena. Kar je sicer še vedno varnostno slabo. Vendar bolj zanimivo je to, da so jih v zelo kratkem času uspeli 90% zlomiti z brute force napadom (mavrične tabele bi rekel pri tako kratkem času), kar pomeni, da je bilo 90% gesel skrajno šibkih. Če uporabnik danes uporabi enobesedno preprosto geslo za karkoli, no, je bunkelj. Jasno je, da je prva obrambna črta danes upravljanje z lastnimi gesli, ne zanašanje na neke bedaste spletne storitve, na katere nimaš nobenega vpliva.
Novica pravi narobe. Gesla so bila hashirana, ne šifrirana. Je pa res, da ni bilo uporabljene soli.
Novica pravi narobe. Gesla so bila hashirana, ne šifrirana. Je pa res, da ni bilo uporabljene soli.
Ja saj je jasno, da so bila zgoščena (hash), to je vendar standarden postopek. Res je, da zgoščevanje ni šifriranje (predvsem je enosmerno), ampak za članek za generalno publiko sta verjetno oba izraza dobra.
Me zanima, kaj bi se zgodilo, če bi dejansko res ukradli 6 gesel. Bi spet vsi rekli, da je logično, da gre za 6 gesel (ker naslov bi itak bil enakt kot v tem primeru. Plus, pri vseh tujih novicah jasno piše zraven milijon).
No, se tole vse razume enako, kajne? LinkedInu leta 2012 ukradli 100 milijonov gesel, ne le 6 LinkedInu leta 2012 niso ukradli le 6 milijonov gesel, ampak 100 LinkedInu leta niso ukradli le 6, temveč 100 milijonov gesel
Vsekakor tudi jaz glasujem za "inženirsko" miselnost in se pač enote napiše povsod. Če se potem kdo pritožuje zaradi dolžine ali pa ponavljanja, se vsaj ve, kaj je mišljeno.
So še komu poslali iz LinekIn-a N obvestil o resetiranemu geslu?
Tipkarska napaka :)
Preveri, če tvoje geslo ustreza varnostni politiki LinkedIn-a. Mogoče ne ustreza - tega sicer LinkedIn ne more preveriti - vejo pa, kdaj si nazadnje spremenil geslo in je to recimo datum pred spremembo njihove varnostne politike in te obveščajo, da pogledaš in spremeniš, če je potrebno.
offtopic: Jaz sem tudi, ko sem prebral samo naslov novice, razumel, da so ukradli le 6 gesel in ne 6 milijonov.
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
Odlikovani inženirji na LinkedInu torej shranjujejo kočljive podatke v orginalni formi ali kako si lahko razlagamo te novice?
Ne, novica pravi, da so bila gesla shranjena šifrirana, vendar ne zasoljena. Kar je sicer še vedno varnostno slabo. Vendar bolj zanimivo je to, da so jih v zelo kratkem času uspeli 90% zlomiti z brute force napadom (mavrične tabele bi rekel pri tako kratkem času), kar pomeni, da je bilo 90% gesel skrajno šibkih. Če uporabnik danes uporabi enobesedno preprosto geslo za karkoli, no, je bunkelj. Jasno je, da je prva obrambna črta danes upravljanje z lastnimi gesli, ne zanašanje na neke bedaste spletne storitve, na katere nimaš nobenega vpliva.
Povedano praktično: Brez soli: password1 --> aWsdFGgh password1 --> aWsdFGgh
S soljo: password1 --> aWsdFGgh password1 --> qurlonsj
Če ni soli, uganeš eno geslo (recimo aWsdFGgh v password1). Kdorkoli drug je uporabljal geslo "password1" ga lahko preprosto pošičeš s ctrl-f "aWsdFGgh". S soljo to ni tako preprosto, saj ti sistem tvoje geslo še malce sam zakomplicira.
V prvem primeru veš, da aWsdFGgh predstavlja password1, v drugem primeru pa še vedno neveš kaj predstavlja qurlonsj + sol2, kljub temu, da si že ugotovil da dj3fuiDu + sol1 predstavlja password1.
Tudi če veš, kakšna je vrednost soli, iz hasha + vrednosti soli ne moreš kar z lahkoto dobiti gesla. Kljub temu da sta dve gesli enaki.
Da se še sam malo obregnem ob naslov. Res je nekoliko zavajajoč. Edini primer, pri katerem je očitno da gre za milijone, je napisal ZigaZiga.
LinkedInu leta 2012 niso ukradli le 6 milijonov gesel, ampak 100
Tukaj pa besedica "le" pove, da mora druga številka predstavljati večjo vrednost kot prva. V tem primeru je logično da gre za milijone. Razen, če bi jih ukradli 100 milijard, kar pa bi bilo spet potrebno eksplicitno navesti.
