XakepRU 13 дек 2010 в 12:07

Тотальный взлом Gawker Media: украдено 1.5 млн аккаунтов

2 мин

716

Информационная безопасность *

Перевод

+49

Комментарии 68

Denter 13 дек 2010 в 12:13

Хеши в DES… Феерический идиотизм…

XakepRU 13 дек 2010 в 12:15

Идиотизм не в том, что они в DES, а в том что на ТАКИХ сайтах они в DES :)

IlyaPodkopaev 13 дек 2010 в 20:36

да нет, идиотизм в том, что DES — алгоритм шифрования, а не хеширования…

Denter 13 дек 2010 в 20:54

DES вполне применяем для хеширования. Другое дело, что уже лет пятнадцать-двадцать, как простой DES не считается криптостойким к прямому перебору — слишком быстро отрабатывает функция на современно технике.

Но применительно к чисто чистовому паролю, наподобие упомянутого тут — никакой алгоритм шифрования или хеширования не спасает от лени юзера.

IlyaPodkopaev 13 дек 2010 в 20:57

ммм. а можно пруф насчет хеширования десом? возможно есть хеш-функции на его основе, но в чистом виде одно из требований к хеш-функции, а именно не зависимость длинны результата от длинны сообщения, не выполняется.

Denter 13 дек 2010 в 21:02

Набираем в гугле:
хеширование DES
и получаем несколько ссылок.

В частности в FreeBSD он какое-то время использовался для хеширования системной /etc/passwd, что меня лично когда-то давно стукнуло и почему меня и не смутило упоминание симметричного алгоритма в контексте хешей.

XuMiX 13 дек 2010 в 12:24

угу, непонятно, чем им не угодил тот же засоленный SHA1

НЛО прилетело и опубликовало эту надпись здесь

AStahl 13 дек 2010 в 12:46

Конфликты конфликтами, а всё-таки ломать нехорошо.

ChemAli 13 дек 2010 в 12:55

Является ли взломом проникновение через технологическое отверстие?

Levsha100 13 дек 2010 в 12:58

+1, если есть дыры, то почему бы их не поюзать?

Denter 13 дек 2010 в 13:14

«Всемирная история. Происхождение анального и орального секса.»

flacon 13 дек 2010 в 13:34

Т.е. если вы шли, увидели дом, открытую дверь, зашли, в открытом ящике стола увидели деньги, взяли их то потом в участке будете рассказывать что нашли клад и хотели получить свои 25%?

ChemAli 13 дек 2010 в 19:30

Отличайте кражу от кражи со взломом :) Взлом — отягчающее обстоятельство.

webscout 13 дек 2010 в 14:28

А как еще можно без спросу проникнуть на сайт, как не использовав дыру в системе?

ChemAli 13 дек 2010 в 19:30

Пресловутая социальная инженерия, хотя классово это все та же дыра, да ;)

webscout 13 дек 2010 в 19:40

А, ну да…
Но социальная инженерия — это дыры в голове у людей. А люди — это часть системы :)

Jabberwok 13 дек 2010 в 17:04

я считаю, что да. вы можете украсть в магазины Сникерс, засунув его себе в рукав. камеры и охрана скорее всего не заметят (так утверждает знакомый, баловавшийся в детстве). является ли это дырой? и хорошо ли так делать?

Biga 13 дек 2010 в 18:42

А если бы они сломали сайт, а потом тихо сообщили бы администрации об уязвимости — это тоже по-вашему нехорошо? Ну-ну…

ChemAli 13 дек 2010 в 19:31

А вы за меня не додмывайте.

usr 13 дек 2010 в 12:46

Тот самый архив goo.gl/s8MQR

НЛО прилетело и опубликовало эту надпись здесь

corbenov 13 дек 2010 в 13:09

с торрентов качается

Levsha100 13 дек 2010 в 13:11

Кстати, пароли тупые аля qwerty, и их очень много.

habarov 13 дек 2010 в 13:24

У меня много подобных паролей. Поясняю почему. Бывает немало случаев, когда я ищу какую-то программу, а она находится только на каком-то сайте, где нужна рега. Но кроме этой программы, мне не нужно на этом сайте ничего. Т.о., вбиваем простой пароль, быстро подтверждаем регистрацию с помощью мыла с таким же дебильным паролем, скачиваем. Далее забываем и о сайте, и о мыле, потому что туда сыплется спам

Как Вам такой подход?

Injected 13 дек 2010 в 13:40

подход не очень.
я пользуюсь lastpass или подобным сабжем к каждому сайту 20+ рандомных символов.
мыло gmail, также для реги в gmail можно добавлять префиксы то есть если мыло habr@gmail.com можно получать письма и на mail.habr@gmail.com или любой вам понравившийся префикс.

pumi 13 дек 2010 в 13:57

А где эти префиксы прописывать надо? В настройках не нашел.

habarov 13 дек 2010 в 13:58

вот, посмотрите ниже! мне кажется, вариант ниже еще лучше)

а насчет префиксов забыл уже давно как-то, благодарствую))

babay88 13 дек 2010 в 13:40

при чем я использую одноразовую почту на mailinator.com в таких случаях.
регистрироваться на сайте не надо. просто вводишь имя ящика — и смотришь письма на нем. )

habarov 13 дек 2010 в 13:47

спасибо, запомню этот сайт))

pwlnw 13 дек 2010 в 20:41

спасибо, забаню этот сайт у себя.

Infthi 13 дек 2010 в 15:00

на будущее
bugmenot.com

mad8vad 15 дек 2010 в 16:49

Используй логин qweqwe и пароль qweqwe или qweqwe1. На многих сайтах такие юзеры уже есть

habarov 15 дек 2010 в 18:37

И что мне это даст?

mad8vad 16 дек 2010 в 11:00

Если такой юзер уже есть, не придется регистрироваться
Если такого юзера нет, зарегистрируешь и следующему не придется регистрироваться

RussianNeuroMancer 13 дек 2010 в 13:20

Только с Бухты. Остальные торренты живы.

usr 13 дек 2010 в 15:38

Будет жить до последнего сида ;)

Stepler 13 дек 2010 в 13:06

перефразируя Булгакова: «разруха не в сайтай, а в головах...»

Krovosos 13 дек 2010 в 13:15

«Gawker Media — гавкнем в медию ваши логины!»

stalkerxxl 13 дек 2010 в 13:20

«будет использовать такой „надежный“ пароль, как '24862486,'?»
что же значат эти цифры?.. вес-рост-возраст не подходит… пошел думать =)

ingenuus 13 дек 2010 в 13:27

24 августа родился. А 86 непонятно. Может в этом году он этот пароль придумал =)

popopo 13 дек 2010 в 14:35

может 24 — 8(августа) — 64 года он родился? )

popopo 13 дек 2010 в 14:35

62го. ошибся

stalkerxxl 13 дек 2010 в 15:41

Не,
он наверное 24862486-й в рейтинге хабралюдей

Mjaffk 13 дек 2010 в 13:28

24 — это день рождения. 86 — ?

dotsquid 13 дек 2010 в 13:30

Гляньте на расположение клавиш с этими цифрами на numpad'e.

Niklex 13 дек 2010 в 13:32

Только цифры

a_v 13 дек 2010 в 13:34

2 4 8 16 32 64 128 256

my_own_parasite 13 дек 2010 в 13:35

да это просто два круга на нумпаде по часовой стрелке

vitall 13 дек 2010 в 13:49

во-первых 2486 повторяется 2 раза
во-вторых это ромб на нампаде, удобно набирать :)

gladkij 13 дек 2010 в 14:46

«квадрат» по часовой стрелке на цифровой клавиатуре, два раза

G3kas 13 дек 2010 в 15:21

крестик, кружочек или цветочек (не знаю, кому как нравится) на калькуляторе клавиатуры, 2 оборота по часовой стрелке

consumer 13 дек 2010 в 17:56

может, серийный номер его доски для сноуборда))

lasthero 13 дек 2010 в 23:18

Комментарии не читай, а сразу отвечай!

Paul 14 дек 2010 в 10:36

Да ничего они не значат, просто набирать удобно — цифры по кругу.

stalkerxxl 13 дек 2010 в 13:34

наверное, просто заикается человек… поэтому два раза 2486 2486

XakepRU 13 дек 2010 в 13:43

А запятая?

ingenuus 13 дек 2010 в 13:57

усложнил

impwx 13 дек 2010 в 14:09

Для секурности, «спецсимвол» же. Или как финальный аккорд идиотизма :)

Virusmater 13 дек 2010 в 14:17

тож на нумпаде)
хотя там точка… но может быть на каких-то раскладках — это запятая

netAn 13 дек 2010 в 14:38

С одной стороны — хочется сказать спасибо хакерам за то, что они устраивают нам тут естественный отбор и тренируют систему безопасности. И хочется сказать, что авторы взломанного сервиса сами виноваты, что хранили всё в открытом виде и в легко доступном месте.
Но я сам в своё время попадал в похожую ситуацию, когда из моего проекта увели данные с паролями ~32 000 пользователей. Хочу выразить сочувствие и понимаю, какая это ответственность и головная боль перед аудиторией сервиса, и насколько это бьет по репутации сервиса.

Так что коллеги-стартаперы, ханите пароли за ~~семью~~256-битными печатями и в хороших сундуках. Чем вы становитесь популярнее — тем чаще вас начинают пробовать на прочность.

oleg_alligator 13 дек 2010 в 14:46

Объясните мне пожалуйста вот на какой такой интересно случай хранить пароли пользователей в незашифрованном виде? В базе должен хранить только хэш и ни как иначе.

netAn 13 дек 2010 в 14:56

Теперь-то я с вами согласен :)
«Военные лучше всего готовы к уже прошедшей войне»

Denter 13 дек 2010 в 20:45

Так там и так хеш был.
DES
56 бит
Мой пароль (13 символов с верхним регистром и пробелами) в таком хеше, стянутый с /etc/passwd фрибсдшного сервера, ломали прямым перебором на средненьком сервере ещё в году этак 98-м. Две недели ломали, правда, но мощности с тех пор выросли несоизмеримо.

Потому я и говорю, что использование DES хешей паролей в наше время — идиотизм категорический. И может иметь только одно разумное обоснование — владельцы ресурса и сами были не прочь получить доступ к паролям пользователей.