W ubiegły weekend zabezpieczenia serwerów Gawker Media zostały przełamane, w związku z czym do Internetu trafiły dane takie jak nazwy użytkowników oraz ich zahashowane hasła.
Gawker Media serwuje takie strony jak Lifehacker, Gizmodo, Gawker, Jezebel, io9, Jalopnik, Kotaku, Deadspin i Fleshbot. Dane użytkowników posiadających tam swoje konta, takie jak nazwa oraz hasło zostały przechwycone.
Początkowo Gawker nie przyznawał się do przełamania zabezpieczeń, co prawdopodobnie zdenerwowało atakującego. Opublikował on posta (obecnie niedostępny), w którym naigrawał się z zabezpieczeń serwisu:
We have discovered various copies of our source code available for download from HERE.
We ask you to NOT download this, as this WILL infringe our copyright.
On the one hand, please know that we at Gawker Media take your information VERY seriously, all user data is protected and looked after in accordance with our policy.
However, we do not believe our data has been compromised, so please relax on that front.
We protect our data with UNIX Standard hash encryption method crypt(3), which is absolutely 100% impossible to crack.
We follow the most stringent, industry standard, methods in order to ensure the integrity and safety of your data. We hope that despite the full disclosure of GANJA, we still hold our iron grip on our data.
W krótkim czasie cała baza danych użytkowników wraz z kodem źródłowym serwisów znalazła się na torrencie. W celu sprawdzenia, czy przypadkiem nasze dane nie zostały upublicznione, można skorzystać z Google Fusion Tables, gdzie zebrano emaile w MD5. Korzystając na przykład z MD5 encrypter, można zahashować email, a następnie przeszukać bazę danych pod względem jego występowania.
By pomóc swoim użytkownikom, Gawker w końcu przyznał się do błędu i udostępnił FAQ, w którym wyjaśnia dalszy sposób działania dla wszystkich zainteresowanych.
Po raz kolejny pojawia się temat wykorzystywania jednego hasła w wielu serwisach. By to zmienić warto zapoznać się z tym, co do powiedzenia ma serwis GigaOM na temat ustawiania bezpiecznych haseł. Dodatkowo, jak sprawdził „The Wall Street Journal”, poziom skomplikowania haseł jest bardzo niski gdyż około 1,5% użytkowników wybrało na hasło „123456”, a 1% dał „password”.
Wywiad z grupą Gnosis, która dokonała przełamania zabezpieczeń serwisów Gawkera
Cóż, oni przynajmniej hashują hasła, w przeciwieństwie do Allegro…
Orange tez "potrafi" przypomniec nam juz zapisane haslo 🙂
Co za ignorant to pisał? Nigdzie nie wyciekły hasła, jedynie ich skróty kryptograficzne.
Z ostatnich zdań wynika że 2,5% użytkowników to ludzie którzy nie mają bladego pojęcia o zabezpieczeniach i bezpiecznych hasłach. A ja mówię że 2,5% użytkowników ma w głębokim poważaniu swoje konto na serwisach Gawker Media, tak jak pewnie w niektórych innych serwisach. Po ich ewentualnej utracie po prostu nie będą płakać, a przynajmniej nie używają jednego hasła do ważnych serwisów jak i tych pierdołowatych – tyle.
Co ciekawe, serwis ucinał hasła do pierwszych ośmiu znaków. Użytkownik "A" ma hasło "qwerty12abc" , a użytkownik "B" hasło "qwerty12blabla" – hashe były takie same. Wniosek, użytkownik A mógł zalogować się do B swoim hasłem 🙂 i na opak. Pro wypas.
"crypt(3) impossible to crack"
WTF? Myślałom że nie ma łatwiejszego algorytmu do złamania niż ten udostępniany przez funkcję crypt…
Bo to była ironia 😉