Slo-Tech - Facebook se je zapletel v nov varnostni incident, ki zajema zasebnost njegovih uporabnikov. Brian Krebs piše, da je od leta 2012 do nedavna Facebook gesla nekaterih uporabnikov hranil kar v besedilni obliki. To pomeni, da so bila gesla zapisana v podatkovni bazi in vidna vsakomur, ki je imel dostop. Facebook je navedbe potrdil, a dodal, da niso zabeležili nepooblaščenih dostopov ali zlorab.
Viri poročajo, da gre za med 200 milijoni in 600 milijoni gesel uporabnikov Facebooka, ki so bila shranjena v besedilni obliki in indeksirana, tako da je imelo do njih dostop več kot 20.000 Facebookovih zaposlenih. Facebook naj bi še vedno poizkušal ugotoviti, koliko gesel je dejansko izpostavljenih in od kdaj se napaka vleče - prvi odkriti primeri so iz leta 2012. Po neuradnih podatkih je v tem času približno 2000 inženirjev izvedlo devet milijonov poizvedb po bazi, ki so vračale tudi gesla v besedilni obliki. Facebook številk ne komentira. Je pa Facebook dejal, da bodo o incidentu obvestili več sto milijonov uporabnikov Facebooka Lite, več deset milijonov uporabnikov Facebooka in več deset tisoč uporabnikov Instagrama.
Shranjevanje gesel v besedilni obliki je velika varnostna luknja in popolnoma neprimerna praksa, ki izpostavlja upravljavca baze velikim tveganjem. Vsakršen vdor v bazo ali nepooblaščen dostop namreč pomeni, da so ogrožena gesla uporabnikov. Standardni pristop je shranjevanje gesel v zgoščeni obliki (hashed), potem ko jim je bil dodan še naključen niz znakov (salted). Na ta način tudi ob morebitnem vdoru iz pridobljenih podatkov ni mogoče izračunati gesel. Še več, zaradi dodanega naključnega niza imajo uporabniki z enakimi gesli različne zgoščene vrednosti. To je tudi razlog, zakaj vam spletne strani ne morejo poslati pozabljenega gesla, temveč vam lahko ponudijo le ponastavitev.
Še na tehnološkem portalu nekateri ne morejo brez mesarskih idej.
Antifašizem je danes poslednje pribežališče ničvredneža, je ideologija ničesar
in neizprosen boj proti neobstoječemu sovražniku - v zameno za državni denar
in neprofitno najemno stanovanje v središču Ljubljane. -- Tomaž Štih, 2021
Kje pa je ta salt shranjen, če ne ravno v isti tabeli, kjer so password-i, in to nekriptiran?
Salt ti ne omogoča povrnitev gesla. Je le dodatna spremenljivka, ki naredi hash unikaten.
Če ima Micka geslo "MojeMocnoGeslo", prav tako je Janez čisto po naključju prav tako izbral geslo "MojeMocnoGeslo" bi zapisa v bazi izgledala nekako takole:
micka | ab32cd:b345ca345ccca308c janez | 76bcca:4222c4aa345ccbc89
Če bi se pri Janezu uporabil enak salt (niz pred dvopičjem), bi moral biti tudi hash, ki sledi dvopičju enak Mickinemu.
Ker pa sta različna, se iz podatkov v bazi ne da ugotoviti, da uporabljata enako geslo.
Prava figa. Ljudje tako ali tako mislijo, da je FB njihov prijatelj. In prijatelji sem pa tja kaj zafrknejo. Pa se jim odpusti, ker zagotovo niso tako hudo mislili. Pa še obvestili jih bodo, da so zafrknili. Uaaau, to je znak dobrote.
Kako lahko sploh nehče ustvari bazo brez šifriranja gesel?
Taki bi morali takoj pred zid za odstrel!
Cisto preprosto, zanalasc. Tudi password je podatek, ki vecino ljudi zelo dobro oznaci, uporabljajo enakega na vseh internetnih straneh (ceprav je bilo ze miljonkrat povedano, da tega ne pocnes).
In pride heker do te tabele, potem lahko lažje ugotavlja gesla, ker ima salt.
Lažje kot? Kako? --- Če predvidevaš, da lahko sol varno shraniš, tako da hacker ne bo prišel do nje, potem lahko tam hraniš tudi gesla. Lahko kar nekriptirana (šala). Na to se pač ne gre zanašati.
Zaradi narave enosmernih funkcij je tudi ob tem, ko dobiš salt in hash, geslo varno. Naključna sol te varuje pred rainbow tabelami, ker bi efektivno za vsako sol moral izračunati svojo rainbow tabelo.
Naključna sol te varuje pred rainbow tabelami, ker bi efektivno za vsako sol moral izračunati svojo rainbow tabelo.
Evo to. Rainbow tabela je brez salt-a. In če imaš 1000 userjev, ter za vsakega drug salt, bi heker moral zgenerirati 1000 različnih rainbow+salt tabel, kar traja nekaj časa...
Za shranjevanje salt-a sem imel v mislih flat file na disku. Tako bi heker moral imet dostop do SQL in FS sistema.
root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window
Nima veze, če hacker lahko pride do salta. Če ti dam tale SHA-1 hash: eb0ae144d5d97d414996b6e689b9db3af0684180
in ti povem, da je zgeneriran iz 4-mestnega numeričnega gesla, kjer je bil uporabljen salt "testSalt", ne boš kar tako ugotovil, kakšno je geslo. Pa sem ti dal OGROMNO podatkov.
Poznaš salt, veš, da gre za 4-mestno geslo, ki vsebuje samo cifre in veš kater hash algoritem sem uporabil. Mi lahko poveš, katero geslo sem uporabil?
Če bi uporabil alfanumerično geslo s posebnimi znaki neznane dolžine, nimaš šans, da ugotoviš, katero geslo sem uporabil, četudi prideš do salta.
Če si tu niso ameriške tri-črkovne agencije pomastile brkov, potem pa si jih nikoli niso. Ker namreč, če imaš gesla *vsega* folka, torej ne samo neke haširane vrednosti, to potem lahko nastaviš brute force algoritme, da dejansko zelo inteligentno uganjajo.
To je po moje nekdo namerno shranjeval, saveda za denar, tri-črkovne agencije pa so se učile na tem gromozanskem vzorcu.
Zdaj je za to zvedel nekdo, ki ne bi smel in so pač to obelodanili. Dejansko pa imajo hash-cat agencije zelo fino nastavljen. Zelo malo folka ima prav random pass. Večina jih ima nekaj lažjega,za zapomniti si.
To je po moje nekdo namerno shranjeval, saveda za denar, tri-črkovne agencije pa so se učile na tem gromozanskem vzorcu.
Zdaj je za to zvedel nekdo, ki ne bi smel in so pač to obelodanili. Dejansko pa imajo hash-cat agencije zelo fino nastavljen. Zelo malo folka ima prav random pass. Večina jih ima nekaj lažjega,za zapomniti si.
ja, zdej bodo loh brute forcal putinov profil na fb..aja ne, njega sploh ni gor.. lahk bodo hekal random babice
To je po moje nekdo namerno shranjeval, saveda za denar, tri-črkovne agencije pa so se učile na tem gromozanskem vzorcu.
Zdaj je za to zvedel nekdo, ki ne bi smel in so pač to obelodanili. Dejansko pa imajo hash-cat agencije zelo fino nastavljen. Zelo malo folka ima prav random pass. Večina jih ima nekaj lažjega,za zapomniti si.
ja, zdej bodo loh brute forcal putinov profil na fb..aja ne, njega sploh ni gor.. lahk bodo hekal random babice
A to si mislil zato ker ljudje gesla uporabljajo samo na fbju, drugje so pa brez?
Za salt sem nekaj studiral, nisem ravno iz webshit podrocja ampak hash(hash(password) + username + password), naceloma zadostuje neponovljivosti, rainbow tabele tudi onemogoci, pa precej manj tecno kot salt ves cas zraven pisat. Ne vidim v tem tezave...?
Glavni problem je da ljudje osebne podatke in vse svoje želje, lastnosti in dogodke vpisujejo na ta družbena omrežja. Če FB uporabljaš samo za stik s prijatelji še ni nič narobe, ampak ta obsedenost z deljenjem svojega življenja z javnostjo pa mi nikoli ne bo jasna.
\"You want us to build WHAT??\" - Ancient Chinese Wall Engineer
Če FB uporabljaš samo za stik s prijatelji še ni nič narobe
To je pomoje bolj problematicno kot javna objava nekih nepomembnih bedarij.
ampak ta obsedenost z deljenjem svojega življenja z javnostjo pa mi nikoli ne bo jasna
Clovek ima psiholosko potrebo po pozornosti, pomembnosti, pripadnosti itd.. Facebook in podobna omrezja znajo te potrebe instantno zadovoljit (do neke mere).
Še eno vprašanja. Ali je ok, da kot salt uporabiš kar username, ki je seveda unique ampak načeloma janvno viden?
hashpass = hash(pass + username)
Ne, ker ima uporabnik, ki reciklira svoje geslo, ponavadi na drugih spletnih straneh tudi isti username. Če obe spletni strani uporabita username kot salt, je v bazi obeh spletnih strani enak hashpass. Vedno se uporabi neko naključno vrednost, da ne pride do ponavljanja hashov.
Za salt sem nekaj studiral, nisem ravno iz webshit podrocja ampak hash(hash(password) + username + password), naceloma zadostuje neponovljivosti, rainbow tabele tudi onemogoci, pa precej manj tecno kot salt ves cas zraven pisat. Ne vidim v tem tezave...?
Motiš se. Preberi post zgoraj. Če že, bi bilo bolje kot username uporabiti username in ime spletne strani. Še vedno pa je najbolje kar random. Generiranje in shranjevanje nekaj naključnih znakov ni tak problem, kot se ti mogoče zdi.
To je po moje nekdo namerno shranjeval, saveda za denar, tri-črkovne agencije pa so se učile na tem gromozanskem vzorcu.
Zdaj je za to zvedel nekdo, ki ne bi smel in so pač to obelodanili. Dejansko pa imajo hash-cat agencije zelo fino nastavljen. Zelo malo folka ima prav random pass. Večina jih ima nekaj lažjega,za zapomniti si.
ja, zdej bodo loh brute forcal putinov profil na fb..aja ne, njega sploh ni gor.. lahk bodo hekal random babice
A to si mislil zato ker ljudje gesla uporabljajo samo na fbju, drugje so pa brez?
Odprava gesel kot avtentikacije? Njet? Očitno ni zanimanja.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
