De gehackte aanbiedingensite LivingSocial heeft besloten de wachtwoorden van de meer dan 50 miljoen gebruikers niet meer met het SHA1 hashing-algoritme te coderen. Vrijdagavond bekende de website, die wereldwijd meer dan 70 miljoen leden heeft, dat het van meer dan 50 miljoen gebruikers het wachtwoord had gereset, nadat aanvallers toegang tot de database hadden gekregen.

Hoe de aanvallers toegang kregen is onbekend, wel is duidelijk dat er e-mailadressen, geboortedata en gehashte wachtwoorden zijn buitgemaakt. De wachtwoorden van gebruikers waren van een willekeurige 40 byte salt voorzien en daarna met het SHA1 hashing-algoritme gecodeerd.

Bcrypt
Het gebruik van een salt moet voorkomen dat aanvallers de gecodeerde wachtwoorden eenvoudig via vooraf gemaakte rainbow-tabellen kunnen achterhalen. Toch was de combinatie van een salt met SHA1 volgens LivingSocial niet voldoende.

In een FAQ over de databasehack laat de website weten dat het van SHA1 op het uit 1999 stammende Bcrypt hashing-algoritme is overgestapt.

Dit wordt als een veiliger algoritme dan SHA1 gezien, omdat het algoritme speciaal voor het hashen van wachtwoorden is ontwikkeld en zo kan worden geïmplementeerd dat het brute force-aanvallen kan vertragen.