Hackers plunderen woondetective en HarryPotter fansite.

[Yezpahr]

nieuws: Hackersgroep plundert Woondetective.nl en Harry Potter-fansite

Hoewel de wachtwoorden wel zijn versleuteld met het md5-algoritme, kunnen veel van deze wachtwoorden eventueel via zogenoemde rainbow tables worden 'ontcijferd'.

Zelf vind ik deze stelling wat kort door de bocht. Er is natuurlijk wel over nagedacht voordat dat het er zo werd neergezet, maar veel wachtwoorden?
Word er met "veel" misschien bedoeld dat veel sysadmins de instellingen gewoon achterwege laten en droog (no salt) MD5 hashes bereiden? Want dan zijn de Rainbow Tables wel nuttig ja en kan ik me er wel wat bij voorstellen. Maar als er met "veel" word verwezen naar het wachtwoordenbestand van hun, dan valt er het een en ander te betwijfelen.

Natuurlijk kunnen die rainbow tables gebruikt worden, maar zo klinkt het eerder als technologische reclame dan als een uitleg over de gevolgen/gevaren.

Die rainbow tables zijn eigenlijk alleen effectief te gebruiken bij een aantal true's en optionele zwakheden:
-Gebrek aan salt bij het maken van de hash. (werd er salt gebruikt of is dit onbekend?)
-Gebruik van Dictionary bij het bedenken van een wachtwoord. (dit is onbekend als het goed is )
-Een wachtwoordlengte van minder dan 15 (bijna elke combo van 14 tekens is al opgenomen in MD5 hashes)
*Hetzelfde wachtwoord in platte text nog ergens opslaan. (Ok, niet van toepassing, stond in het artikel namelijk al dat dit voor wat admins het geval was )
*Gebruik van welbekende wachtwoorden (abc123, administrator, qwerty ×3 ).
*instellingen van de Checksum calculator.

De grootste table neemt alleen maar deze characters mee: A-Z a-z 0-9 !@#$%^&*()-_+=~`[]{}|\:;"'<>,.?/ en is daarmee bijna 8 GB groot en neemt 64 GB werkgeheugen in...
Hoe reëel is het dat "veel" wachtwoorden hiermee gevonden worden?

Mijn verwachting is dat veel wachtwoorden eerder de dans ontspringen, omdat veel combo's gewoon niet gebruikt worden vanwege de instellingen van de hacker die op het moment bezig is die table te scannen.*edit: En daar nog wel even zoet mee is .*

Wat denken jullie?

[MueR]

Op een site waar iedereen een stevig wachtwoord gebruikt wel. Maar als zelfs hier een hoop wachtwoorden met dictionary attacks makkelijk te bruteforcen zijn... Zonder denigrerend te willen zijn, de gemiddelde harry potter fan is zich nu niet echt bewust van veiligheid op internet en zal met grote waarschijnlijkheid een zwak wachtwoord gebruiken. Dus is het wel degelijk een reële mogelijkheid dat er een groot deel van de wachtwoorden gekraakt kan zijn.

[Yezpahr]

Inderdaad, die schatting van mij moet ik wat bijspijkeren in dit geval, ik was even vergeten dat Tweakers dat proefje had gedaan.
Ik ben trouwens nog wat vergeten in mijn eerste post. Volgens mij ging het deze hackers niet echt om de wachtwoorden, maar eerder om de glorie.

De hele database zal waarschijnlijk nooit weer naar gekeken worden door dezelfde hackers, maar door de mensen die hem nu zo graag willen downloaden om te spelen/oefenen met MD5 hashes.
De hackers zien er geen brood in, als ze het al publiekelijk op straat gegooid hebben. Dus echt moeite zullen ze er niet meer voor gaan doen.

Wederom lijkt het me dat er weinig wachtwoorden gehackt zullen worden, want ik denk niet dat er veel mensen zijn die de 8GB tables hebben gedownload voor het geval er weer eens een passwordtable op straat komt te liggen .