Lesley Fowler
0 
2189
322
Ovo je kratka priča o blokovima, slomljenom povjerenju, kompromitiranim računima, prikrivanjima i jednom od najpopularnijih stranica o Minecraft zajednici. Računi više od 7 milijuna članova čamac za spašavanje kompromitirani su ranije tijekom godine, a podaci su navodno prodani najvišim ponuditeljima na Mrežnoj mreži.
7 milijuna korisnika!
Masovno kršenje otkriveno je u siječnju. Pratite najnovije podatke o curenju podataka - slijedite ovih 5 usluga i feedova. Pratite najnovija curenja podataka - slijedite ovih 5 usluga i feedova Troy Hunt, sigurnosni istraživač iza Jesam li pwned? web mjesto za obavijesti o kršenju Primio je savjet o podacima nekoga tko se aktivno bavio hakiranom vjerodajnicama za prijavu i u prošlosti je primio druge podatke od te osobe.
“Podatke mi je dostavio netko tko se aktivno uključio u trgovinu, a koji mi je u prošlosti slao druge podatke”
Njegovo otkriće razotkrilo je neslavnu sigurnost na brodu "Lifeboat" i podjednako neadazijski slijed događaja koji su uslijedili nakon kršenja.
Novo kršenje: U siječnju je u Minecraft zajednici "Lifeboat" bilo izloženo 7M računa. 6% je već bilo u @haveibeenpwned https://t.co/LGaAniJH32
- Jesam li pwned? (@haveibeenpwned) 26. travnja 2016
Lifeboat pokreće poslužitelje za prilagođena okruženja Minecraft Pocket Edition Ako biste trebali nabaviti Minecraft Windows 10 Edition? Trebate li nabaviti Minecraft Windows 10 izdanje? Ako ste ranije kupovali Minecraft, možete besplatno nabaviti izdanje sustava Windows 10. U suprotnom, možete koristiti 90-minutno besplatno probno razdoblje. U međuvremenu, pogledajte kako nam se svidio Minecraft u sustavu Windows 10. Omogućuje igračima koji koriste mobilnu verziju izuzetno popularnog graditelja voksela 10 Indie City i Base Builders da isprobaju upravo sada! 10 graditelja Indie City-a i graditelja baza za isprobati sada! Postoji niz indie programera koji rade na nizu nevjerojatnih gradskih igara u stilu graditelja. Pogledajmo neke od najboljih nezavisnih graditelja baza i gradova koje možete igrati ... da biste sudjelovali u različitim načinima za više igrača, poput Capture the Flag ili Survival. Korisnici Lifeboat-a povezuju se s poslužiteljem zajednice, registrirajući svoje željeno korisničko ime s adresom e-pošte i zaporkom. Prilično standardne stvari.
Bez obzira na korisnike, Lifeboat je zatim saznalio lozinke s sada sramotno slabim algoritmom MD5, što znači da bi lozinke bilo lako probiti koristeći osnovne (i lako dostupne) alate.
Nakon curenja
Kada tvrtka doživi povredu podataka koja uključuje osobne podatke svojih korisnika, uobičajeni način djelovanja je da ih obavijesti zašto tvrtke koje skrivaju kršenja mogu biti dobra stvar zašto tvrtke koje se krše tajno mogu biti dobra stvar s toliko informacija na mreži, svi se brinemo zbog mogućih kršenja sigurnosti. Ali ta se kršenja mogu zadržati u tajnosti u SAD-u kako bi vas zaštitila. Zvuči ludo, pa što se događa? , Obavještavanje korisnika o njihovoj privatnoj adresi e-pošte i zaporki za njihov račun nažalost je stekao potencijalno zlonamjeran subjekt. Čini se sasvim razumnim.
Spasilački brod zanemaren da obavlja ovaj naizgled osnovni zadatak, umjesto da odluči da budući da prekršeni podaci ne sadrže financijske podatke, pokretanje tihog resetiranja zaporke na cijelom web mjestu vjerojatno će biti dovoljno. Čak i tada, priča o nedostatku sigurnosti nastavlja se, a Lifeboat savjetuje svojim korisnicima da stvaraju kratke lozinke - doslovno suprotno od široko prihvaćene prakse generiranja lozinki 7 pogrešaka lozinke koje će vam vjerovatno doći do hakiranja 2015. godine su objavljene i prilično su zabrinjavajuće. Ali oni pokazuju da je apsolutno kritično pojačati svoje slabe lozinke uz samo nekoliko jednostavnih ugađanja. .
“Usput, preporučujemo kratke, ali teško pogoditi lozinke. Ovo nije internetsko bankarstvo.”
Međutim, unatoč tvrdnjama Lifeboat-a o vraćanju zaporke na cijelom web mjestu, mnogi korisnici s kojima je došlo do kršenja odgovorili su negativno, rekavši da nisu primili nijednu takvu resetiranu e-poštu ili obavijest prilikom ulaska u igru ili spajanja na poslužitelj Lifeboat-a..
“Loše je što su ih prije svega prekršili, ali to što nam ne govore o njemu još je gore”
Što je pošlo po zlu?
Kršenje podataka Lifeboat-a glasi poput popisa onoga što ne treba učiniti u hitnim slučajevima. Sama povreda odmah je postavljena na # 7 u Jesam li pwned top 10.
Sustavne nedostatke privukle su takvu pozornost. Ne samo da su prekršene adrese e-pošte i zaporke, već su i korisnici aktivno ohrabreni da oslabe vlastitu šansu za osiguravanje sigurnosti osobnih podataka neprimjerenom preporukom zaporke. Da bi se uistinu nadoknadio, Lifeboat je pohranio lozinke koristeći lako lomljivu metodu enkripcije.
MD5
Da je Lifeboat odabrao suprotan savjet - koristite dulje lozinke koje sadrže kombinaciju slova, brojeva i simbola - podaci bi za te trgovce podacima bili mnogo manje atraktivni. Razmotrite ovo: lozinka koja sadrži šest alfanumeričkih znakova ograničena je na samo 626 (26 malih slova, 26 velikih slova, brojevi 0-9). Čak i pomoću osnovnih mrežnih alata, sigurnosni istraživači ili zlonamjerne stranke razriješiće zaporku za nekoliko tjedana. Izvanmrežni alati, koji koriste moćno računalo, provalit će se sekundi.
Grozan savjet o lozinki bio je njihov vlastiti loš sigurnosni vodič. Spasilački brod odlučio je za nezaslađene MD5 heševe kako bi priklonio otvorene lozinke. Iako nudi osnovnu razinu zaštite, MD5 dizajniran je da ponudi izuzetno brzo, šifriranje na izvoru svjetlosti kako funkcionira šifriranje i je li to stvarno sigurno? Kako funkcionira enkripcija i je li stvarno sigurna? , U svojoj genezi, te su osobine MD5 učinile prilično praktičnim alatom. Većina maloprodajnih računala jednostavno nije imala dovoljno snage da probije šifriranje.
Međutim, vremena se mijenjaju, a naša kućna računala znatno nadmašuju ona koja su razvijena prije desetak godina i drastično narušavaju djelotvornost bilo čega što je promijenjeno pomoću MD5.
Nenaslovirane lozinke
I samo da bi trljao sol u ranu, Lifeboat je napravio posljednju grešku. MD5 heševi koji štite lozinke bili su nezaslađeni. Što sve ovo MD5 izdvajanje haljina zapravo znači [objašnjena tehnologija] Što sve ovo MD5 sjeckanje stvari zapravo znači [objašnjena tehnologija] Evo potpunog propadanja MD5, šivanja i malog pregleda računala i kriptografije , , To znači da lozinke u otvorenom tekstu nisu kombinirane s jedinstvenom vrijednošću za svaki korisnički račun, što olakšava postupak krekiranja i podudaranja..
Salting u osnovi osigurava da je svaka pojedinačno hashed lozinka u potpunosti jedinstvena, čak i ako sadrže identične znakove. Svi koji žele vidjeti lozinke morali bi probiti svaki hash pojedinačno.
Sigurno za povratak?
Čamac za spašavanje nije dao previše izjava o kršenju. Njihov stav, vjerujem, ostaje da, iako je kršenje podataka kažnjivo, jer ne posjeduju nikakve dodatne osobne ili financijske podatke, šteta bi trebala biti relativno ograničena. Lifeboat je također potvrdio da se MD5 više ne koristi na web mjestu ili na bilo kojem od njegovih poslužitelja.
“Kad se to dogodilo [početkom] siječnja, shvatili smo da je najbolja stvar za naše igrače tiho vraćanje resetiranja zaporke, ne dajući do znanja hakerima da imaju ograničeno vrijeme za djelovanje. To smo radili u razdoblju od nekoliko tjedana.”
Čak i ako je izravna šteta ograničena, može doći do drugih ispadanja. Ljudi su uglavnom lijeni kada su u pitanju lozinke, koristeći samo nekoliko njih da zaštite sve svoje internetske račune.
"To su bile doslovno sve moje lozinke, društveni mediji, Pe serveri, e-pošta itd. Moram li ih sve promijeniti?" https://t.co/f2sh4Lz20f
- Trojanski lov (@troyhunt) 28. travnja 2016
Iako se povećava rizik od jednog kršenja pravila zbog izlaganja više računa, lekcija bi trebala biti jasna: ako vam je zaista stalo do svetosti vaših računa, vaših privatnih, osobnih podataka i više, upotrijebite snažnu, jedinstvenu lozinku za svaki od njih. Tako da kada dođe do kvara usluge, nećete postati statistika.
Usput, korisnici Lifeboat-a: vrijeme je za promjenu sve svoje lozinke.
Jeste li bili pogođeni haakom za spašavanje? Hoćete li ponovo vjerovati Lifeboat-u? Kako pratite svoje lozinke? Javite nam u nastavku!