Een beveiligingsonderzoeker heeft op eenvoudige wijze twee miljoen LinkedIn-wachtwoorden weten te kraken, wat aangeeft hoe zwak de wachtwoorden zijn. Deze week verscheen een bestand met 6,5 miljoen gecodeerde wachtwoorden, die mogelijk van 12,5 miljoen LinkedIn-gebruikers zijn. Speciaal voor het verschijnen van het bestand, werd er een update voor wachtwoordkraker John the Ripper ontwikkeld om de LinkedIn-wachtwoorden efficiënter te kraken.

Woordenboek
Onderzoeker Francois Pesce van Qualys besloot op een oude computer, zonder snelle videokaart en rainbow table, de wachtwoord-hashes te lijf te gaan. Hiervoor gebruikte hij naar zeggen oude vertrouwde woordenboeken en zelf gemaakte regels .Pesce begon de aanval met een standaard woordenboek van minder dan 4.000 worden, waarbij er vervolgens het cijfer 1 aan elk woord werd toegevoegd. Toen hij naar de incrementele mode overstapte om eerst de meest waarschijnlijke wachtwoorden te proberen, had hij na 4 uur al 900.000 wachtwoorden gekraakt.

Vervolgens gebruikte hij een aantal woordenboeken gebaseerd op bestaande wachtwoordlijsten. Dit leverde in minder dan een uur nog eens 500.000 wachtwoorden op. Pesce gebruikte de 1,4 miljoen gevonden wachtwoorden als nieuw woordenboek, waarbij er steeds nieuwe variaties werden geprobeerd. Onder andere door steeds verschillende variaties van het woord Linkedin te proberen. Hierdoor werden nog eens 600.000 wachtwoorden gekraakt.

Complexiteit
"Dit laat duidelijk zien dat ongeacht de complexiteit van het wachtwoord dat je kiest, zolang het op woorden en regels gebaseerd is, ook al zijn er veel woorden en veel regels, het waarschijnlijk wordt gekraakt", concludeert de onderzoeker.

Eerder waarschuwde anti-virusbedrijf Sophos al dat 60% van de wachtwoorden gekraakt was. LinkedIn liet donderdag al op het eigen blog weten dat het nog geen meldingen van misbruik heeft ontvangen.