ilya42 September 26, 2012 at 05:16 PM

100 000 паролей ieee.org целый месяц лежали в открытом доступе

Information Security

По недосмотру администраторов логи веб-серверов ieee.org и spectrum.ieee.org, содержащие в том числе логины и пароли открытым текстом, по меньшей мере в течение месяца были доступны по адресу ftp.ieee.org/uploads/akamai (дыра закрыта 24 сентября). В логах хранилась информация о более чем 376 миллионах HTTP-запросов, 411 308 из которых содержали пары логин-пароль. 99 979 из них оказались уникальными. Среди пострадавших — множество сотрудников Apple, Google, IBM, Oracle, Samsung, NASA, Стэнфордского университета и многих других компаний и организаций, входящих в международную ассоциацию IEEE.

Утечку обнаружил румынский хакер Раду Драгусин. Общий объём логов составил около 100 гигабайт. Он проанализировал файлы и сообщил IEEE об уязвимости. Он не публиковал и не собирается публиковать полученные пароли. Результаты анализа логов он обнародовал на сайте ieeelog.com, специально созданном для этой цели.

Tags:

Comments 36

dzeban September 26, 2012 at 05:40 PM
+26
Самое позорное, что это IEEE.
- ComodoHacker September 27, 2012 at 11:16 AM
  0
  Что в этом такого особенного?
  - spacediver September 27, 2012 at 06:10 PM
    
    +1
    «The world's largest professional association for the advancement of technology» :(
    - ComodoHacker September 27, 2012 at 07:13 PM
      
      0
      
      И?
      - spacediver September 27, 2012 at 08:13 PM
        
        +4
Cetic September 26, 2012 at 05:42 PM
+1
Среди пострадавших — множество сотрудников Apple, Google, IBM, Oracle, Samsung, NASA, Стэнфордского университета и многих других компаний и организаций, входящих в международную ассоциацию IEEE

Казалось бы — сотрудники таких уважаемых компаний должны использовать нормальные, стойкие пароли. В то же время — я посмотрел график с самыми популярными паролями и взял ТОП6: пароли 123456, ieee2012, 12345678, 123456789 и password суммарно использовало 1118 человек!

Румынский хакер, кстати, повел себя адекватно и обнародовал только анализ логов, а не сами логи
- Ockonal September 26, 2012 at 05:43 PM
  +3
  Это не значит, что сотрудники перечисленных организаций использовали именно эти пароли.
  - Cetic September 26, 2012 at 05:51 PM
    
    0
    Действительно, напрямую — нет, не значит. Здесь нет полного списка пострадавших. Сказано лишь, что среди множества пострадавших есть подмножество сотрудников уважаемых организаций и есть подмножество пользователей с, мягко говоря, не стойкими паролями (примерно — каждый сотый пользователь). Я рискнул предположить, что эти подмножества между собой где-то пересекаются.
    - rednaxi September 26, 2012 at 06:09 PM
      
      +6
      
      Как я понимаю, это просто пары логин-пароль, взятые из логов веб-сервера. Теперь вопрос — проверялась ли валидность этих пар логин-пароль?
      
      Т.е. кто-то мог просто пытаться подобрать пароль к конкретному аккаунту, и эта, введенная им пар логин-пароль, тоже попадет в логи, и попадет в статистику и т.д.
      - Cetic September 26, 2012 at 06:10 PM
        
        0
        
        Спасибо за комментарий — я об этом не подумал
      - spacediver September 27, 2012 at 06:12 PM
        
        0
        
        Вполне вероятно (не вчитывался), что невалидные пары можно было отсечь по коду ответа сервера.
- Cetic September 26, 2012 at 05:43 PM
  0
  Извиняюсь, опечатался — имелось в виду Топ5, а не Топ6
- UFO just landed and posted this here
- nerudo September 26, 2012 at 06:45 PM
  +1
  Люди… Люди никогда не меняются… Почти (ц)
- nerudo September 26, 2012 at 06:48 PM
  +5
  Было бы смешно, кстати, если бы сперли базу паролейпользователей хабра — увидеть каково количество подобных паролей на данном высокоинформационном ресурсе…
  - sledopit September 27, 2012 at 12:49 PM
    
    +1
    Давайте запилим голосование. Я прямо так и вижу варианты:
    1. 12345
    2. qwerty
    3. другой (укажу в комментариях)
    - leMar September 28, 2012 at 12:44 AM
      
      0
      
      Я, как тот солдат из анекдота, который матчасть не учил, вообще, свои пароли не знаю :)
      - foxmuldercp October 1, 2012 at 01:03 PM
        
        0
        
        Я свои тоже ни один не знаю. Один пароль и тот, на keepassx базу. остальные я даже и не вижу. точно знаю что один из них по длине меньше чем остальные.
artemlight September 26, 2012 at 05:47 PM
0
Топик о пользе хеширования.
- sic September 26, 2012 at 05:52 PM
  +2
  Да и по хешам бы значительную часть пробили.
  
  Топик о пользе мозга (а был такой?).
  - celen September 26, 2012 at 06:02 PM
    
    +2
    Если бы кто-то додумался кэшировать пароли на клиента, они бы наверняка их посолили. Либо забота о безопасности есть, либо ее нет.
    - ProRunner September 26, 2012 at 08:32 PM
      
      0
      
      На хабре куча топиков о правильном хэшировании после вот этого появилась: habrahabr.ru/post/145345/ Вы наверное пропустили
- TIgorA September 26, 2012 at 05:52 PM
  +5
  Только если на стороне клиента.
- Goodkat September 26, 2012 at 08:01 PM
  0
  Скорее уж о пользе сгенерированных уникальных паролей, чтобы, даже если рукожопые админы сольют базу паролей, не подвергнуть опасности остальные свои аккаунты.
L3n1n September 26, 2012 at 06:03 PM
0
Кто следующий? Instagram? Twitter?

Как вообще такие серьезные проекты хранят пароли в открытом виде?
- rednaxi September 26, 2012 at 06:11 PM
  +1
  пароли не хранят, хранят логи веб-сервера, в которых содержатся введенные пользователем данные
  - L3n1n September 26, 2012 at 06:20 PM
    
    0
    Такие же логи я проверял на валидность тут habrahabr.ru/post/138726/
    Примерно 25 000 валидных аккаунтов gmail (пропарсил далеко не всю базу, с прокси были проблемы).
    С русскими ящиками вообще смешно. 80% паролей от mail.ru,yandex.ru валидны. И это всего лишь логи веб-сервера…
gaelpa September 26, 2012 at 06:16 PM
0
Похоже, что кто-то из разработчиков сделал себе удобный способ просматривать логи по принципу «все равно никто не знает, что они там лежат», но убрать забыл.
pyatin September 26, 2012 at 06:50 PM
+1
На сайте одного из супермаркетов в открытом доступе лежат резюме людей (с паспортными данными и телефонами).
Как поступить если владельцы сайта не реагируют?
- Goodkat September 26, 2012 at 08:07 PM
  0
  Подайте на них в суд: www.spets-proekt.spb.ru/pdn/info/law
- Goodkat September 26, 2012 at 08:08 PM
  +3
  А можете разместить там своё резюме и стребовать компенсацию морального ущерба.
Dzen_Marketing September 26, 2012 at 07:56 PM
0
Я немного не понял.
У них логин+пасс через GET передаётся?
- L3n1n September 26, 2012 at 07:57 PM
  0
  С чего вы взяли что логировались только GET?
  - Dzen_Marketing September 26, 2012 at 07:59 PM
    
    0
    С того, что логировать POST, как минимум, странно.
    Там вполне может быть загрузка файлов, большие текста, etc, и это всё будет попадать в логи и раздувать их
    - L3n1n September 26, 2012 at 08:03 PM
      
      0
      
      Скорее всего там дамп POST запросов как это было с youporn.
UFO just landed and posted this here