Slo-Tech - Microsoft je naslednje v vrsti podjetij, ki so ugotovila, da obvezno menjanje gesel vsaka dva meseca (ali kaj podobnega) ni dobra varnostna praksa. Zato bodo iz novih inačic Windows 10 Version 1903 (19H1) ter Windows Server v1903 odstranili politiko poteka veljavnosti gesel. To pomeni, da gesla ne bodo več privzeto potekla, temveč bodo organizacije same vpeljale druge načine zaščite pred nepooblaščenim dostopom. To so na primer večstopenjska avtentikacija, zaznavanje napadov s poizkušanjem gesel, zaznavanje neobičajnih prijav, uvedba seznamov prepovedanih (prelahkih) gesel itd. Microsoft teh taktik ne bo vsiljeval, jih bo pa predlagal.

Zavedanje, da prisilno menjanje gesel v rednih časovnih intervalih ne prispeva k varnosti, se je okrepilo v zadnjih...

ZDNet - Seznam velikih vdorov in kraj osebnih podatkov se nadaljuje z incidentom na FriendFinder Networks, v katerega so vstopili neznani hekerji in odnesli osebne podatke več kot 412 milijonov ljudi. Gre za omrežje, ki združuje več strani, med katerimi so z adulfriendfinder.com odtujili podatke 340 milijonov uporabnikov. Poleg tega so prizadete še strani cams.com s 63 milijoni žrtev, penthouse.com s sedmimi milijoni, stripshow.com s poldrugim milijonom in icams.com z okroglim milijonom.

Kot kaže, se je napad zgodil oktobra, torej smo zanj izvedeli bistveno hitreje kot na primer za Yahoojevega. Ta je prizadel še nekoliko več ljudi, a ga je podjetje dve leti prikrivalo. V FriendFinder Networks so napadalci prišli z zlorabo...

Slo-Tech - Na spletu se je znašel paket ukradenih osebnih podatkov, ki jih je neznani heker pridobil z vdorom v rusko družabno omrežje VKontakte. Več kot 100 milijonov uporabniških podatkov ponuja heker, ki je odgovoren tudi za vdore v MySpace, Tumblr, LinkedIn in Fling. Za ruski komplet podatkov zahteva en bitcoin, kar je okrog 500 evrov, vseh ukradenih podatkov pa naj bi bilo 170 milijonov.

Vdor v VKontakte (ki se danes uradno imenujejo VK.com) je pomemben zaradi več faktorjev. To je največje rusko družabno omrežje, ki je zelo popularno tudi v Vzhodni Evropi in Centralni Aziji, in ima v Rusiji več uporabnikov kot Facebook, saj je po Alexi to tam najbolj obiskana stran. Skupaj z ostalimi...

Slo-Tech - Tumblr je šele 12. maja letos sporočil, da so neznani napadalci leta 2013 vdrli v njihov sistem in pridobili dostop do nekaterih uporabniških podatkov. Danes pa je postalo znano, da je bil napad precej obsežnejši, kot je sprva kazalo. Napadalci so odnesli elektronske naslove in šifrirana gesla vsaj 65 milijonov uporabnikov, kaže analiza Have I Been Pwned. Toda za zdaj kaže, da je imel Tumblr gesla ustrezno shranjena, zato si napadalci z njimi ne morejo nič pomagati.

Paket elektronskih naslovov in gesel, ki so v obliki zgoščene vrednosti SHA1 in imajo dodan naključni sestavni del (salted hash), že kroži po internetnem podzemlju, a ga prav zaradi ustreznega zavarovanja gesel nepridipravi ne morejo prodati za več kot...

Krebs On Security - Na internetu se je znašla datoteka z zbranimi uporabniškimi imeni, elektronskimi naslovi, rojstni datumi in gesla, ki pripada spletni strani za internetne zmenke Cupid Media. Napad se je zgodil že januarja letos, a o njem niso obvestili medijev. Dodatno težavo povzroča dejstvo, da so bila gesla shranjena v nezaščiteni obliki (plain-text).

Datoteko z 42 milijoni vnosov so našli na istih strežnikih, kamor se hekerji priobčili tudi pridobljene podatke v napadu na Adobe. Strokovnjak za varnost Brian Krebs, ki je v začetku novembra stopil v stik s prizadeto avstralsko stranjo, da bi izvedel...

Microsoft - Algoritem RC4 je ena izmed najstarejših tokovnih šifer, ki se še vedno uporablja v starih verzijah protokola TLS in WEP. V RC4 so odkrili že številne ranljivosti, zato je njegova uporaba odsvetovana in se opušča. Raziskovalci so odkrili številne pomanjkljivosti, ki skupaj z naraščanjem računske moči omogočajo praktično izvedbo napadov na RC4. Recimo šifriranje WEP v brezžičnih usmerjevalnikih je že dlje časa mogoče zlomiti sorazmerno hitro (v manj kot dnevu). Obstajajo celo...

TheNextWeb - Enkrat ta ponedeljek naj bi še neimenovana ruska hekerska skupina objavila paket 6.5 milijona gesel za poslovni portal LinkedIn (5 odstotkov od skupaj 150 milijonov uporabnikov). Napadalci so zaprosili za pomoč pri lomljenju gesel (cca. 300.000 naj bi jih že imeli).

Gesla so sicer kriptografsko zgoščena s SHA-1 algoritmom, vendar brez uporabe salta, tako da je zoper njih možen neposredni napad s preizkušanjem najbolj pogostih kombinacij. Varnostni raziskovalci so uporabnike že pozvali, naj takoj zamenjajo svoja gesla, isto pa seveda velja še za morebitne druge uporabniške račune z istim geslom (e-pošta, Facebook, idr.).

LinkedIn za zdaj pravi le, da zadevo raziskujejo. Njihovi PR-ovci...