Top 30 populairste LinkedIn-wachtwoorden
Link is het populairste wachtwoord van LinkedIn-gebruikers van wie de wachtwoord-hash gekraakt is. Deze week verscheen een bestand met 6,5 miljoen wachtwoord-hashes van LinkedIn-gebruikers online. Daarvan is inmiddels een groot deel gekraakt, wat een overzicht van de Top 30 populairste LinkedIn-wachtwoorden oplevert. Na Link volgt 1234, work, god en job. Fuck, bitch en dick komen ook in het overzicht voor en dat is geen verstandige keuze, aldus beveiligingsbedrijf Rapid7 dat de Top 30 samenstelde.
Scheldwoorden zijn niet alleen zwak, ze kunnen ook erg gênant voor de eigenaar zijn als ze worden geopenbaard. "Dit soort wachtwoorden kunnen ervoor zorgen dat je LinkedIn moet gebruiken om een nieuwe baan te vinden!" Daarnaast zouden scheldwoorden boven brute-force woordenboeken staan, zo laat de beveiliger weten.
Waarschuwing
Inmiddels heeft ook LinkedIn meer details over het wachtwoord-lek gegeven. Daarin verklaart de sociale netwerksite waarom het gebruikers niet direct waarschuwde. "Meteen toen we van de diefstal hoorden, zijn we een onderzoek begonnen om te bevestigen dat de wachtwoorden van LinkedIn-gebruikers zijn. Zodra dit bevestigd was, hebben we meteen het risico voor onze gebruikers in kaart gebracht", zegt Vicente Silveira.
Van gebruikers van wie de gelekte wachtwoord-hash was gekraakt werd het account uitgeschakeld. Vervolgens werden deze gebruikers via e-mail ingelicht.
Salt
Daarnaast stelt Silveira dat de wachtwoorden van LinkedIn-gebruikers al voor het nieuws van het wachtwoord-lek waren gesalt. Bij salting wordt een waarde aan het wachtwoord toegevoegd en dit vervolgens gehasht, waardoor eerdere berekende hashes niet zijn te gebruiken. De gelekte LinkedIn-hashes zijn niet gesalt.
Dat zou kunnen betekenen dat de wachtwoorden voor het salten zijn gestolen of dat ze uit een oude back-up afkomstig zijn, zoals sommige experts vermoeden.
Overigens, had LinedIn niet een wachtwoordbeleid waar deze zwakke wachtwoorden compleet niet aan voldoen?
Is er één goede reden om dit niet te doen?
Wanneer de database gehackt wordt en de MD5 hash waarden vam de wachtwoorden worden gestolen, dan maakt het wachtwoor op zich niet meer uit. Alleen de lengte en de complexiteit kan je dan nog redden.
Er zijn voldoende rainbow tables te vinden en een handige applicatieschrijver met tijd maakt ze zelf.
Vervolgens gaat de bot naar de volgende account.
Dit werkt iets beter dan een eindeloze aanval op 1 account.
Omdat de bot heel simpel alleen maar test met zwakke passwords.
De zwakste schakel is de "gemiddelde" gebruiker en van die zwakte zal gebruik gemaakt worden.
.
met brute forcen word in dit geval kraken van de geleakte hash bedoelt
Onzin dus om daar zo.n een lock-out in te gaan voeren.
Ik vind dat zinnig bij online bankieren, of bij mijn DigID, (waar overigens hetzelfde voor geld als bij Linkedin) maar niet bij Linkedin. Ook al kan dat nadelig zijn.
In dit geval had die lock-out ook geen bal uitgemaakt natuurlijk, aangezien ze het wachtwoord gewoon op papier zouden hebben.
Voor de schijnveiligheid zou het natuurlijk wel een goede optie zijn.
Werkelijk? Hoe salt je dan een bestaande lijst ongesalte hashes? Dat kan niet - tenzij je ze kraakt. (...)
Geen probleem:
sha1($salt . sha1($password));
Kan je prima doen als je alleen een sha1 van het password hebt
Werkelijk? Hoe salt je dan een bestaande lijst ongesalte hashes? Dat kan niet - tenzij je ze kraakt.
Kan iemand dit bevestigen of ontkrachten?
- er 6,5miljoen sha-1 hashes zijn gepubliceerd
- er 6,5miljoen gegenereerde wachtwoorden matchen tegen de sha-1 hashes
- van die gegenereerde wachtwoorden er een deel overeen komt met wat gebruikers zeggen voor linkedin te gebruiken
- linkedin zegt dat enkele wachtwoorden tussen hun 160 miljoen accounts gebruik worden
- er veel zwakke wachtwoorden tussen zitten die volgens het linkedinbeleid nooit gebruikt konden worden
Is er één goede reden om dit niet te doen?
Als ik dat vaak genoeg doe wordt het vanzelf vervelend.
Kan iemand dit bevestigen of ontkrachten?
Kan idd bevestigen dat de genoemde wachtwoorde NIET voorkomen in de database.
Check zelf: http://linkedout.beerandcake.com
Vind het ook vreemd want LinkedIn vraagt een minimum wachtoord lengte van 6 karakters.
Is er één goede reden om dit niet te doen?
Als ik dat vaak genoeg doe wordt het vanzelf vervelend.
Maar theoretisch is het wel een mogelijkheid, ja.
Lees ook op ISC: https://isc.sans.edu/diary/Preying+on+Users+After+Major+Security+Incidents/13423
Preying on Users After Major Security Incidents
As most of our readers already know, there has been some major publicized password breaches involving LinkedIn, eHarmony, and others. Scam artists have taken notice of these breaches and are using these incidents to prey on confused or unsuspecting users.
For example, one of our readers received a scam message claiming to be from IMDb. The scam message (see below) claims that there are problems with the security of the user's password which can be corrected by clicking on the link. Anyone who clicks on the link are redirected to a pharmaceutical advertisement site. Similar messages have been seen elsewhere which purported to be from LinkedIn or eHarmony.
Unfortunately, this type of activity happens with almost any major incident, no matter if it is a data breach, natural disaster, or other major crisis. Within the InfoSec community, we need to find effective ways to communicate to our respective user communities about well publicized issues, as well as the scam possibility in the aftermath of the real incident.
Wie kan de onderstaande MD5 Hash voor mij even kraken met een Rainbowtabel?
(ik geef toestemming, het ww is namelijk van mij).
47d8e6178934f8b1174f0965e44a3ecb
Ik wens u veel succes.
[object HTMLCollection]
Is er één goede reden om dit niet te doen?
Als ik dat vaak genoeg doe wordt het vanzelf vervelend.
Dan creeer je een leuke DoS voor alle accounts inderdaad.
Netter is om toegang tot het account X minuten misschien te ontzien en na die tijd weer te enablen, true iemand die je niet mag kan nog steeds je account disablen maar aangezien de tijdspanne zo groot is zou je wellicht LinkedIn kunnen inschakelen om te vragen of ze het source ip-adres blocken..als het een gerichte DDoS tegen jouw account is dan zou ik sowieso maar bidden dat het goed komt , ongeacht welke oplossing je ook kiest ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
