LinkedIn опубликовала информацию в своем корпоративном блоге дополнение к правилам безопасности : Теперь хэши паролей на сервере будут храниться с добавлением соли.
Люди работают в LinkedIn хороший Эксперты по ИТ-безопасности, которые уже давно готовятся обновить систему, чтобы хеши хранились с солью.
К моменту утечки обновление уже было произведено, и сейчас ведутся работы над дополнительными уровнями безопасности.
Директор LinkedIn также подчеркивает, что утечка базы данных Электронные почты пользователей не были указаны, а ФБР уже ищет злоумышленников.
Между тем, с момента утечки более половины паролей из опубликованной базы данных удалось восстановить.
Например, компании SophosLabs удалось выбрать 3,5 миллиона паролей , т.е.
60% всех уникальных хешей из опубликованного файла LinkedIn (из 6,5 миллионов хэшей только 5,8 миллиона являются уникальными).
Такие программы, как John the Ripper, позволяют вам перебирать словарь, добавляя слова и добавляя/заменяя символы, поэтому длинные пароли, такие как linkedinpassword или p455w0rd, можно довольно легко расшифровать.
Более того, программа позволяет пополнять словарь найденными в процессе паролями, чтобы после семи проходов был найден пароль типа m0c.nideknil (из словаря linkedin).
Пример 1-й проход. pwdlink из pwlink с правилом «добавить d в третью позицию» 2. pwd4link из pwdlink с правилом «вставить 4 в четвертую позицию» 3. pwd4linked из pwd4link с правилом «добавить ред.» 4. pw4linked из pwd4linked с правилом «удалить третий символ» 5. pw4linkedin из pw4linked с правилом «надстройки».
6. mpw4linkedin от pw4linkedin с правилом «добавить m в начало» 7. mw4linkedin из mpw4linkedin с правилом «удалить второй символ» 8. smw4linkedin от mw4linkedin с правилом «добавить s в начало» 9. sw4linkedin из smw4linkedin с правилом «удалить второй символ» 10. lsw4linkedin от sw4linkedin с правилом «добавить l в начало» SophosLabs, помимо обычных словарей, взяла также словарь, который использовался червем Conficker. Ниже приведен список паролей из словаря Conficker; все они были в базе данных LinkedIn, кроме двух (mypc123 и ihavenopass).
смотрите также 30 самых популярных паролей, украденных из LinkedIn .
Теги: #linkedin #хеширование паролей #грубая сила #джон потрошитель #информационная безопасность
-
Проект Итэр В 2019 Году
19 Oct, 24 -
Атаки На Время – Сказка Или Реальная Угроза?
19 Oct, 24
