CD Projekt Reds forum hackat – 1,9 miljoner konton på vift

Svaret är nog att ingen tänkt på det. De installerade väl mjukvaran för forumet för några år sen, och det var den typen av säkerhet som mjukvaran använde. Antingen så uppdaterade inte mjukvaruutvecklaren (säkerligen inte någon på CD som skrivit mjukvaran för forumet) sättet hashningen görs på, eller så uppdaterade inte CD sin installation av mjukvaran.

Tittar du på hur de flesta webbprojekten webbramverken ser ut nu för tiden så är det inbyggt i systemet att man kan byta hashmetod i en configfil på ett par sekunder bara, så utvecklingen går framåt. Standardinställningen på tex Django etc brukar vara en hashalgoritm man kan ställa in hur många gånger den ska köra om sig (work load eller iterations, finns i tex BCrypt), samt att varje lösenord saltas individuellt (man lägger på ~10-20 slumpmässiga tecken på användarens lösenord innan man hashar det). Om den som driver siten vill ändra hashning så ändrar man det bara i en configfil, och nästa gång som användaren loggar in så kommer det som sparas i databasen att uppdateras till den senaste versionen av hashningen.

Det som en hackare skulle få tag på när de laddar ner databasen är i så fall epostadressen och hashinformationen för lösenordet, som kan se ut så här:

pbkdf2_sha256$20000$L7uq6goI1HIl$RYqywMgPywhhku/YqIxWKbpxODBeczfLm5zthHjNSSk=

Den strängen innehåller allt datorn behöver för att kunna validera lösenordet:

<algorithm>$<iterations>$<salt>$<hash>

Så i detta exempel är det pbkdf2_sha256 som är algoritmen, den ska köras 20000 gånger, och lösenordet saltas med L7uq6goI1HIl innan det hashas. Slutresultatet ska då bli RYqywMgPywhhku/YqIxWKbpxODBeczfLm5zthHjNSSk= om användaren angav rätt lösenord.

När tiden går och datorerna blir snabbare så kan man helt enkelt välja att öka antalet gånger algoritmen ska hasha om lösenordet innan den är klar, så kanske dubblera det om ett år så att den kör 40000 gånger då.

MD5 är tänkt för att säkerställa att en fil har laddats ned korrekt och liknande fall där inte känslig information bör finnas. Många torrent/download/p2p program använder just MD5 för att säkerställa om filerna är korrekta eller korrupta.

(Tankar bara Linux distros själv)

Skickades från m.sweclockers.com

Det är inte helt omöjligt, men jag tvivlar på att det var huvudsyftet.

Skickades från m.sweclockers.com