6,5 miljoen LinkedIn-wachtwoorden gelekt
Op een Russische hackersite is een bestand met de versleutelde wachtwoorden van 6,5 miljoen LinkedIn-gebruikers geplaatst. Vervolgens werd opgeroepen om de hashes te achterhalen, wat inmiddels 300.000 wachtwoorden heeft opgeleverd, zo meldt de Noorse website Dagensit.no. De oproep om te helpen met het kraken van de hashes wordt bevestigd door beveiligingsonderzoeker Per Thorsheim. Ook op andere websites probeert men de hashes te kraken.
Ook op Twitter zijn inmiddels talloze berichten over het lek verschenen, waaronder een link naar de 118MB grote database. Gebruikers krijgen dan ook het advies hun wachtwoord te wijzigen. Het Finse CERT heeft inmiddels een waarschuwing afgegeven.
Update 14:52
De Duitse beveiligingsexpert Stefan Esser merkt op dat het wijzigen van het wachtwoord niet zoveel zin heeft, zolang het lek waardoor de aanvallers de database wisten te bemachtigen niet wordt verholpen. LinkedIn heeft nog altijd niet gereageerd.
Update 15:08
"Hmmm linkedin database zou nu rondgaan. Simpele md5's van mijn wachtwoorden komen er niet in voor. Misschien gesalt", zo laat Ronald Prins, directeur van Fox-IT, op Twitter weten. Later meldt Prins: "Hmmm, mijn sha1 hash zit inderdaad in de linkedin database. Dus het is toch heel erg echt."
Update 15:14
Gebruikers zijn woedend op LinkedIn omdat het geen aanvullende beveiligingsmaatregelen zou hebben genomen. "Geen salt, geen enumeratie, helemaal niets", aldus Chris McKee.
Update 15:25
Overzicht van geraden hashes online, alsmede mirror van database-hashes.
Update 15:40
Volgens een persbericht van LinkedIn uit februari, heeft de sociale netwerksite 161 miljoen gebruikers. Dat zou betekenen dat de aanvallers de hashes van 4% van de gebruikers hebben bemachtigd. Inmiddels laat LinkedIn via Twitter weten dat het de zaak in onderzoek heeft.
Update 17:42
LinkedIn laat via Twitter weten dat het nog steeds bezig met het onderzoek is, maar nog altijd niet kan bevestigen of er een hack ook daadwerkelijk heeft plaatsgevonden.
Later meer
HAHAHAHA het zijn geen MD5 hashes, maar SHA1. Groot verschil.
"hmmm, mijn sha1 hash zit inderdaad in de linkedin database. Dus het is toch heel erg echt."
Zie niets over MD5????
Laat er maar een stevige storm van protest komen, dan worden die bedrijven hopelijk eens wakker.
ik kreeg namelijk spam op een mail adres binnen dat alleen bij linkedin en mij bekend is.
96%?
Voor degene die het lastig vind een sterk wachtwoord te verzinnen: http://www.onlinewachtwoordgenerator.nl
Lijkt me nogal belangrijk om dat juist wel te doen als je vreest voor de complexiteit van je wachtwoord. Wijzig je wachtwoord in een 20+ character wachtwoord ofzo.
96%?
Oh, Duh.... Hoofdrekenen kan ik klaarblijkelijk ook niet meer :-/
Lijkt me nogal belangrijk om dat juist wel te doen als je vreest voor de complexiteit van je wachtwoord. Wijzig je wachtwoord in een 20+ character wachtwoord ofzo.
1) als ze toegang hebben tot een systeem hebben ze waarschijnlijk ook toegang tot de communicatie om voor voordat je wachtwoord gehashed is is onderschept. Wijzigen is zeker niet onverstandig, maar je mag het niet zien als ultime oplossing zolang niet duidelijk is of en hoe men toegang heeft tot systemen en gegevens.
2) ik zou niet alleen naar linkedin kijken wat je maar beter kan wijzigen, volksstammen die nog steeds hetzelfde wachtwoord bij meerdere dienstverleners gebruiken....Het is zaak dat gebruikers zich bewust zijn wat de gevolgen zijn, niet alleen wat mogelijk een oplossing is of hoop geeft.
Interessante gedachte, maar dat lijkt mij niet zo waarschijnlijk. Dan zou de aanvaller die Man-in-the-Middle heeft was, het wachtwoord opgeslagen hebben in de vorm van een SHA-1 hash. Dat zou ik nogal vreemd vinden. Maar blijft interessant om te speculeren waarom ze in godsnaam geen salt hebben gebruikt.
Wachtwoord van Linkedin wijzigen heeft volgens mij pas zin als het lek is opgelost.
Waarom zijn er zo vaak 5 nullen aan het begin van de regel? Waarom is er zo vaak overlap als je de eerste 5 weglaat?
Goed punt, dat automatisch ...
Maar eenvoudig op te lossen door er ff
(ondertussen weet je toch mijn id niet ;-) )
http://blog.linkedin.com/2012/06/06/updating-your-password-on-linkedin-and-other-account-security-best-practices/
Straks rode oortjes iedereen die klakkeloos deze onzin gelooft.
* De lijst is authentiek
* Er is geen gebruik gemaakt van phishing of malafide apps of man-in-the-middle attacks.
LinkedIN is dus lek, en zolang dat lek niet gedicht is heeft het wijzigen van je wachtwoord alleen zin als je het nogmaals wijzigd NAdat 't lek gedicht is.
Enige plek waar ik dat wachtwoord gebruik, dus of we hebben een collision of het is echt.
En ja, als je als "internetter" je wachtwoord op meerdere plaatsen gebruikt, dan vraag je wel om moeilijkheden. Dat moet nu toch wel duidelijk zijn. Er zijn genoeg alternatieven om goede, gegenereerde wachtwoorden te gebruiken. Doe dat dan ook.
Mijn wachtwoord telt 13 tekens, een mix van hoofdletters, kleine letters, getallen en een speciaal teken....
Is dat veilig genoeg, of zal dat ook binnen afzienbare tijd gekraakt worden?
Volgens bijvoorbeeld: http://howsecureismypassword.net/ zou 1 computer er ongeveer 400 miljoen jaar over doen om dat te kraken...
En uiteraard hoeft dat basis-woord niet in de Dikke van Dale te staan, er zijn meer woordenlijsten te vinden waar ook de wat creatievere "woorden" tussen zitten...
Met behulp van rainbow tables echter kan het aanzienlijk verkort worden. Er hoeven immers geen hashes meer berekend te worden en wordt het een kwestie van de juiste waarde in de tabel vinden.
http://en.wikipedia.org/wiki/Rainbow_table
SlechthoorLinkedIndatjulliedithebbenkunnenlatengebeuren!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.