LinkedIn bevestigt diefstal 117 miljoen wachtwoorden
Bij de hack van LinkedIn in 2012 zijn inderdaad 117 miljoen wachtwoordhashes en e-mailadressen van gebruikers gestolen, en niet 6,5 miljoen zoals eerder werd gemeld, zo heeft de zakelijke netwerksite in een blogposting bevestigd. Gisteren werd bekend dat op internet een bestand met de gegevens van 117 miljoen LinkedIn-gebruikers wordt aangeboden.
De gegevens zijn bij de hack van 2012 buitgemaakt. LinkedIn laat namelijk weten dat het niet om een nieuw beveiligingsincident gaat. Daarbij heeft de zakelijke netwerksite besloten om van alle accounts die voor 2012 zijn aangemaakt en sindsdien hun wachtwoord niet hebben veranderd, het wachtwoord te resetten. Getroffen gebruikers zullen hierbij worden ingelicht als hun wachtwoord is gereset.
Leaked Source, een zoekmachine waar tegen betaling in databases zoals die van LinkedIn kan worden gezocht, zou inmiddels 90% van de 170 miljoen wachtwoordhashes hebben gekraakt en maakte een overzicht van de 49 meestgebruikte wachtwoorden. Daaruit blijkt dat '123456' het meest voorkomt. Dit wachtwoord werd door 753.000 accounts gebruikt. Verder zijn ook 'linkedin' (172.000) en 'password' (144.000) erg populair.
Fout fout fout fout. Door een dergelijke beperkingen verminder je het aantal mogelijke combinatie - en maak je het juist gemakkelijker voor een aanvaller om buitgemaakte hashes te kraken. Daarnaast, en ernstiger, maak je het de gebruiker die volledig willekeurige wachtwoorden (de beste wachtwoorden dus) te gebruiken en tenslotte maak je het gebruik van stateless wachtwoord systemen onmogelijk. Je spoort daarmee de gebruiker juist aan om wachtwoorden te gebruiken die zowel aan de beperking voldoen alsook gemakkelijk te onthouden zijn. Hele grote fout dus.
8 karakters is tegenwoordig ook niet meer lastig te kraken. De hackers hadden namelijk de wachtwoord hashes in handen. En als je 4 jaar lang de tijd krijgt om hashes te kraken, heb je ook alle mogelijkheden met 8 karakters wel gezien.
Zucht. Bij "het grootste professionele netwerk ter wereld", zoals ze zich noemen, betekent het woord professioneel kennelijk niet dat ze hun eigen vak verstaan.
En... 8 karakters is nog altijd ruim 52 bits sterkte, als je ze maar willekeurig uit de pool van 95 printbare karakters kiest,
en al te simpele wachtwoorden of wachtwoorden die vaak voorkomen of die in woordenboeken staan vermijdt.
Ik kom uit op gemiddeld ca. 71 jaar brute forcen bij 1 miljoen wachtwoorden per seconde.
Maar "gemiddelde tijden" geven je geen garantie: het kan ook toevallig eens veel korter duren!
Voor de zekerheid kan je dus het beste af en toe van wachtwoord veranderen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
