LinkedIn bevestigt diefstal wachtwoorden
LinkedIn heeft bevestigd dat aanvallers erin geslaagd zijn om de wachtwoorden van een onbekend aantal gebruikers te stelen. Vanmiddag werd bekend dat op een Russische website een bestand was geplaatst met daarin de wachtwoord-hashes van 6,5 miljoen gebruikers van de sociale netwerksite, die in totaal 161 miljoen leden heeft. Van 300.000 accounts waren inmiddels de wachtwoorden via de hashes achterhaald.
"We kunnen bevestigen dat sommige van de wachtwoorden die gecompromitteerd zijn toebehoren aan LinkedIn accounts", aldus Vicente Silveira op het LinkedIn blog. Het onderzoek naar de inbraak is nog niet afgerond. Toch zijn van alle getroffen gebruikers de wachtwoorden gereset en zijn die per e-mail ingelicht met instructies hoe ze een nieuw wachtwoord aan kunnen maken.
Daarnaast krijgen deze getroffen gebruikers ook een tweede e-mail van het Customer Support team met aanvullende informatie waarom men het wachtwoord moet wijzigen.
Salt
LinkedIn wekte de woede van talloze gebruikers omdat het geen salting van gehashte wachtwoorden toepaste. Salting maakt het lastiger voor aanvallers om het bij de hash horend wachtwoord te achterhalen. "We bieden onze excuses voor het ongemak aan. We nemen de veiligheid van onze leden zeer serieus", aldus Silveira.
Eerder op de dag gaf LinkedIn gebruikers, vanwege het toen nog onbevestigde lek, wachtwoord-advies. Ook LinkedIn lijkt onbekend met het concept van passphrases te zijn, aangezien het adviseert om een zin te verzinnen en vervolgens van elk woord de eerste letter te nemen.
Experts adviseren juist passphrases, 'wachtzinnen' die uit meerdere woorden bestaan, omdat ze eenvoudiger te onthouden zijn en vaak zonder veel moeite boven de 20 karakters kunnen uitkomen, waardoor de hash veel lastiger te kraken is dan van een kort maar complex wachtwoord.
(Nee, niet 123456 zoals al veel sufferds doen...)
(moet ik nog naar xkcd linken of weten jullie het inmiddels wel? http://xkcd.com/936/)
Achja, iedereen kan gehacked worden. Als je dat als ''bewijs'' wilt zien dat een bedrijf de veiligheid van leden niet serieus neemt, zonder enige kennis van zaken over de achtergrond van de vermeende hack, dan is dat nogal kort door de bocht.
Wat een bagger site :'). Wachtwoorden zoals:
123456
test
password
Zijn allemaal niet gecracked volgens dat ding? :')
Meer dan 150 miljoen professionals gebruiken LinkedIn om informatie en ideeën uit te wisselen
Zijn ze bij LinkedIn zot geworden? Ze hebben aangegeven dat ze tot nu toe alleen in staat zijn om te bevestigen dat de wachtwoorden en hashes inderdaad overeenkomen met wat LinkedIn gebruikt. Tenzij ze helderziend zijn is het behoorlijk arrogant om er vanuit te gaan dat alleen de hashes die ze zelf op internet weten te vinden kwetsbaar zijn! Dan ga je niet alleen van die accounts het account resetten!!!!
"test" niet. Eventjes nadenken en je weet waarom.
2) alleen 'getroffen' gebruikers verplicht account resetten (alsof linkedin weet welke accounts er niet getroffen zijn)
3) amateuristisch advies om een wachtwoord te kiezen
4) iemand heeft kennelijk toegang tot credentials, maar laten we vooral net doen alsof alleen de hashes die we zien bemachtigd zijn en er voor de rest alleen wat onderzoek nodig is.
Handelaren op de beurs vinden het ondertussen wel prima dat LinkedIn zo slecht bezig is met beveiliging. De koers van het aandeel heeft er niet onder geleden, dus of je nu goed of slecht met andermans gegevens en persoonlijke profielen omgaat maakt voor de waarde van een bedrijf niet uit. Weet u meteen weer wat u bij bedrijven en handelaren werkelijk waard bent. U bent waardeloos als u er in trapt om bij een onveilige toko rond te blijven hangen. Eigen schuld dikke bult.
LeakedIN.org zou dat kunnen afvangen door alleen te checken op 't laatste stuk van de hash... blijkbaar doen ze dat niet...
Overigens heb ik 'n paar uurtjes een cracker tegen de gelekte hashes aan gehouden, en passphrases als Purplepeopleeater, Blondshavemorefun2, Thelordoftherings5 en godisgoodallthetime zijn reeds gecrackt...
Puur een wat langere zin met een hoofdletter en een cijfertje erachter is dus NIET een veilig wachtwoord... Denk dat 't met name belangrijk is dat je geen woordenboek-woorden gebruikt... Then again, 't langste tot nu toe gekraake wachtwoord is rbdc9vtrc8d7972j97jyprvmg....
https://lastpass.com/linkedin/
testing
123456789
987654
password
geheim
Ik had een slechte dag vandaag, maar nu voel ik me weer veel beter! ;-)
Wat een bagger site :'). Wachtwoorden zoals:
123456
test
password
Zijn allemaal niet gecracked volgens dat ding? :')
Het zal straks allemaal een vette hoax blijken te zijn, en daarna facebook...
Waar komt vandaan dat dit bij accounts van LinkedIn hoort en niet een of andere malloot de boel op stelten zet met de suggestie dat dit bij LinkedIn zou horen.....!!!!
Ik maak me dan ook meer ongerust over het feit dat men met de passworden aan de haal is gegaan dan het feit dat er niet de meest optimale ;-) hashing methodiek is gekozen .
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
