Slo-Tech - Internetni kriminalci so ponovno potegnili na plan dobra štiri leta stare podatke iz vdora v spletno stran Ashley Madison. V zadnjih tednih so žrtve vdora ponovno začele prejemati izsiljevalska elektronska sporočila, v katerih so zahtevali plačilo odkupnine, sicer bodo objavili osebne podatke žrtev. Ti vključujejo tudi spletna naročila in kakšne druge manj prijetne podrobnosti iz Ashley Madison.

V zameno za molk izsiljevalci zahtevajo plačilo v bitcoinih, ki po trenutnih tečajih znaša okrog 800 evrov. V sporočilu so vsi osebni podatki, ki so jih napadalci dobili: rojstni podatki, prijavni podatki itd. Večina jih je zbranih v datoteki PDF, ki je zaklenjena in priložena sporočilu skupaj z geslom. Žrtve imajo na voljo šest dni.

Da bodo izsiljevalci kmalu po objavi podatkov iz Ashley Madison začeli izsiljevati, so strokovnjaki pričakovali. Ponovna popularnost te tehnike z istimi podatki skoraj pet let pozneje pa kaže, da kar je objavljeno na internetu, nikoli resnično ne ponikne ali...

Slo-Tech - Pred štirimi desetletji so Ken Thompson in ostali velikani računalništva ustvarjali operacijski sistem BSD, izpeljanko Unixa, ki so imeli tudi vsak svoje uporabniško ime in geslo. Pred petimi leti je Leah Neukirchen v izvorni kodi BSD verzije 3 odkrila datoteko /etc/passwd, v kateri so bile zgoščene vrednosti gesel več kot deset razvijalcev BSD-ja. Pet let pozneje je računske moči dovolj, da so uspeli zlomiti skoraj vse. Sedaj vemo, kakšna gesla so imeli ustvarjalci pred štirimi desetletji.

Odgovor je - ne preveč varna po modernih smernicah. V omenjeni datoteki so bile zapisane zgoščene vrednosti gesel po algoritmu crypt(3), ki nikoli ni veljal za preveč varnega. Dolžina gesel je bila omejena na osem, shranjena pa so bila zgolj z 12 dodatnimi biti entropije. To je dovolj majhen konfiguracijski prostor, da ga je moč preiskati z vsemi kombinacijami. Leah Neukirchen je uspela zlomiti večino gesel. Ostalo jih je šest, izmed katerih je bilo pet zlomljenih ta mesec. Neznanka je le...

Slo-Tech - Facebook se je zapletel v nov varnostni incident, ki zajema zasebnost njegovih uporabnikov. Brian Krebs piše, da je od leta 2012 do nedavna Facebook gesla nekaterih uporabnikov hranil kar v besedilni obliki. To pomeni, da so bila gesla zapisana v podatkovni bazi in vidna vsakomur, ki je imel dostop. Facebook je navedbe potrdil, a dodal, da niso zabeležili nepooblaščenih dostopov ali zlorab.

Viri poročajo, da gre za med 200 milijoni in 600 milijoni gesel uporabnikov Facebooka, ki so bila shranjena v besedilni obliki in indeksirana, tako da je imelo do njih dostop več kot 20.000 Facebookovih zaposlenih. Facebook naj bi še vedno poizkušal ugotoviti, koliko gesel je dejansko izpostavljenih in od kdaj se napaka vleče...

The New York Times - Skoraj leto dni po vdoru v spletno stran Ashley Madison, v katerem so napadalci ukradli in na internetu priobčili podatke o identiteti uporabnikov stran za načrtovanje skokov čez plot, se je s konkretnimi komentarji in zavezami oglasilo novo vodstvo. Stran je namreč aprila letos dobila novega predsednika in izvršnega direktorja, ki sta začela pospravljati po hiši in reševati, kar se bi sploh še rešiti dalo.

Ob tem upravljavci priznavajo tudi, kar so nekateri strokovnjaki povedali že prej. Drži, da so bili na strani pretežno moški uporabniki, ki so jih v sklenitev plačljivih naročnin ukanili avtomatizirani robotski kontakti, za katere so uporabniki mislili, da so ženske uporabnice....

Slo-Tech - CNBC se je na lastni koži naučil, da je pot v pekel tlakovana z dobrimi nameni, uporabniki pa, da so za svoja gesla odgovorni predvsem sami. V torek so namreč na CNBC objavili članek, ki je spodbujalo uporabo varnih gesel. Eksperiment je šel strahovito narobe.

Dobra gesla so takšna, ki si jih je enostavno zapomniti, težko uganiti, bodisi s surovo silo (torej so dovolj dolga) bodisi s poznavanjem vseh podrobnosti o uporabniki (torej s socialnim inženiringom). CNBC-jem članek se je osredotočal na prvi aspekt in je v ilustracijo uporabnikom omogočal vpis lastnega gesla, algoritem pa je potem izračunal, kako odporno je geslo na napad s surovo silo. Zraven je izrecno pisalo, da CNBC gesel nikjer ne shranjuje. Le kaj bi lahko šlo narobe, če na neko tretjo internetno stran (pa četudi...

Ars Technica - Vdor v Ashley Madison je že tako ali tako imel precej resne posledice za vse vpletene, sedaj pa se seznamu njihovih težav pridružujejo še razkrita gesla. Ker so upravljavci strani shranjevali zgoščene vrednosti gesel (hash) po algoritmu bcrypt, smo spočetka napak predpostavili, da jih ne bo mogoče zlomiti. A pisci strani so zagrešili dve ogromni napaki, ki sta v nekaj tednih omogočili razbitje 90 odstotkov od 15 milijonov prizadetih gesel.

V pobeglem arhivu je bila namreč tudi datoteka, ki je vsebovala spremenljivko z imenom $loginkey za 15 milijonov uporabnikov. Izkazalo se je, da gre za zgoščeno vrednost iz uporabniškega imena in...

Slo-Tech - Kot je bilo pričakovati, so posledice vdora v spletno stran Ashley Madison in objava podatkov vseh njenih strank precej bolj eksplozivne od ostalih hekerskih napadov na različne internetne strani. Medtem ko pri običajnih vdorih največjo težavo povzročajo razkrita gesla, kadar niso bila ustrezno šifrirana, in številke kreditnih kartic, je pri Ashley Madison nevšečen katerikoli podatek, ki omogoča enolično identifikacijo uporabnika.

Pravzaprav je nekoliko ironično, da so pri Ashley Madison naredili domačo nalogo, kar se tiče varovanja gesel. Ta so bila zaščitena z zgoščevalno funkcijo bcrypt in z ustreznim semenom (salted hash), zato jih velike večine ne bodo uspeli razbiti. Dean Pierce se je iz akademskih razlogov lotil iskanja najpogostejših gesel in jih je uspel zlomiti le 0,07 odstotka, pri katerih gre za izrazito nespametna gesla...

Krebs On Security - Pravzaprav je bilo le vprašanje, kdaj bo mamljiva baza podatkov pricurljala na internet. Točno mesec dni po vdoru v spletno stran Ashley Madison se je na internetu znašel 10 gigabajtov težak arhiv, ki domnevno vsebuje informacije o uporabnikih strani. Prve analize kažejo, da bi bil arhiv lahko pristen, podatki pa resnični.

Ashley Madison je kanadska spletna stran, ki jo ljudje uporabljajo, da laže diskretno varajo svoje partnerje. Oglašuje se s sloganom Življenje je kratko, privoščite si afero, in je kljub kritikam nekaterih skupin zelo priljubljena stran. Nezaželeno publiciteto je stran doživela 15. julija, ko so neznani napadalci ob vdoru na stran ukradli vse podatke o uporabnikih, kar je glede na namen...

Slo-Tech - Naslednji spletni strani, ki sta se znašli na seznamu vdorov, sta Spotify in Avast. Spotify je sporočil, da so zaznali nepooblaščen dostop do podatkovne baze z uporabniškimi podatki. Preiskava je za zdaj pokazala, da naj bi bil prizadet en sam uporabniški račun, o katerem so napadalci uspeli pridobiti osebne podatke, ne pa gesla ali finančnih podatkov. Večje nevarnosti za uporabnike naj ne bi bilo, so pa vseeno napovedali nadgradnjo aplikacije Spotify za Android (ostale verzije ostajajo nespremenjene), ki bo poskrbela za dodatno varnost.

Precej boljši izplen pa so imeli hekerji pri napadu na forume proizvajalca varnostnih rešitev Avast, so sporočili iz podjetja. Tu naj bi bilo...

ZDNet - V zadnjih dneh so bili hekerjev očitno nadpovprečno aktivni, saj se poročila o vdorih na spletne stran in odtujitvah uporabniških podatkov kar vrstijo. Po uspešnem napadu na Yahoo! Voices sta novi žrtvi Android Forums in Nvidia.

Phandroid je potrdil, da so neznanci napadalci kompromitirali njihove strani Android Forums, pri čemer so pridobili uporabniška imena, elektronske naslove, IP-naslove in zgoščene vrednosti (hashed) gesel. Forum je imel dober milijon članov, ogroženi pa so vsi. Administratorji so že zagotovili, da je bila ranljivost, ki so jo napadalci izkoristili (varnostna luknja v forumu vBulletin), zakrpana in da so uvedli še nekaj dodatnih varnostnih ukrepov za vsak primer. Verjamejo, da so napadalci v prvi vrsti želeli pridobiti čim več elektronskih naslovov, ki jih preprodajo...

Slashdot - Na Slashdotu so prek BBC-ja objavili vest, da je nov zakon v Franciji prepovedal shranjevanje gesel na spletnih straneh in spletnih servisih v zgoščeni vrednosti (hash value), namesto česar morajo upravljalci storitev, npr. spletne elektronske pošte, ponudniki glasbe in videa, spletne trgovine, itd., v svojih bazah shranjevati gesla v obliki običajnega besedila (plain-text). Poleg neposredno zapisanega gesla naj bi pri vsakemu uporabniku imeli napisan še ime in priimek, naslov prebivališča in telefonske številke, vse te podatke pa bi v primeru sprejetja zakona morali posredovati oblastem, če bodo te to zahtevale. Podatke lahko zahteva policija, davčni in socialni urad, carina in urad za boj proti...