Newsgroup: it.lavoro.informatica
Titolo: 6 milioni e mezzo di password trafugate da Linkedin?

 
Ma ci si può credere che le avessero conservate in chiaro? O che gli
abbiano soffiato pure le chiavi private?
 
Eoni fa, quando lavoravo nel commercio elettronico, usavamo Rijndael
(oggi AES, all'epoca ce lo siamo dovuti implementare a manina, ho
ancora il codice da qualche parte), la password come chiave privata, e
conservavamo soltanto salt (uno lungo, random ma non rand(), e per
riga) e hash, che poi andavamo a confermare con l'hash dell'utente,
come fanno ancora oggi anche Amazon o Apple (anzi, noi, al contrario
di Apple, avevamo preso la decisione di non conservare la password
utente in RAM manco per 15 millisecondi, altro che 15 minuti!).
 
--
ale
http://ale.riolo.co.uk
 

 abbiano soffiato pure le chiavi private?
 
e l'utilita' di queste pwd ?
 
 
felice pago
 
felice
.

 .
Venderle al miglior offerente

 Venderle al miglior offerente
 
il quale a sua volte ne ne fa cosa ?
pagando per di piu'
 
 
 
felice pago
 
ex iscritto linkedin
.


Magari qualche truffa rubando l'identità.
 
 


Pare abbiano anche il salt...
 
  ngw


sono anni che me la raccontano cosi'
tipo da quand ousci un film,
di cui non ricordo il titolo
 
 
emh io rimango perplimuto
 
 
felice pago
 
complesso
.

 e l'utilita' di queste pwd ?
 
Il nome utente è l'email. Non è il mio caso, ma immagino ci sarà
almeno un 50% di utenti che avrà usato la password dell'email ...
 
--
ale
http://ale.riolo.co.uk
 

 Magari qualche truffa rubando l'identit�.
 
Ma quelle pw funzionano solo su Linkedin...
Il danno mi sembra limitato.
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, cos� le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 complesso
 
La social engineering non e' da sottovalutare.

 M.
 
Certo che funzionano solo li' ma puoi attingere informazioni sfruttando 
quelli accounts e la rete sociale associata.

 quelli accounts e la rete sociale associata.
 
Orpo, si potrebbero chiedere dritte sulla nuova X-box al mio gancio in 
M$ spacciandosi per me...
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, così le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 M.
 
Probabilmetne il tuo gancio in M$ non ne sa nulla :)

 Probabilmetne il tuo gancio in M$ non ne sa nulla :)
 
Lo sa, lo sa, ma non parla neanche sotto tortura, in M$ per certe 
posizioni sono molto attenti alla selezione del personale.


 M.
Hai provato con l'ipnosi? :)

 Hai provato con l'ipnosi? :)
 
In vconf con Redmond non funziona, forse ci vuole il fullHD.  :)
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, cos� le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 M.
 
E allora puoi stare tranquillo del tuo account non sapranno che farsene :)


He he he, farebbero piu' danni a crackarmi feissbuk.  :D
Ma non l'account ufficiale...  ;)



 
I non informatici tendono ad usare la stessa password pi� o meno 
dappertutto. Qualche volta anche gli informatici.

 abbiano soffiato pure le chiavi private?
 
non è detto che fossero *conservate* in chiaro, possono essere anche
carpite al volo in fase di autenticazione tramite XSS o tramite
qualche vulnerabilità della SDK per applicazioni di terzi.
 
bye!

 almeno un 50% di utenti che avrà usato la password dell'email ...
 
E' possibile, usare un grosso universo di pw di per sè poco utili come
base di partenza per craccare siti ben più sensibili.

 ha scritto nel messaggio 
news:563c7baa-7e06-44da...@a16g2000vby.googlegroups.com...

Cioe'?
 
Se hanno la mia password su linkedin,
ossia "fangagili_chiotti_primaticci_murpissi",
che se ne fanno?
 
ciao
fm
 
 
 

 base di partenza per craccare siti ben più sensibili.
 
se fosse quella di fb o dell'account google potrei darti ragione, ma
linkedin non mi risulta faccia da openid provider.
 

 fm
 
Dictionary attack.

 fm
 
 
-- 
 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it
 
 
 


Nel senso che avendo il db e facendo qualche ipotesi ragionevole tipo
quella di Riolo puoi provare ad entrare da qualche altra parte, es.
proprio l'account Google. Magari ci riesci solo nell 1% dei casi, che
fa 65000, magari un altro 1% contiene informazioni "d'oro", e siamo a
650, numero non disprezzabile.

 che se ne fanno?
 
Fanno ipotesi su altre possibili tue password, come ben dice Riolo.
Sui grandi numeri nella rete dell'hacker può capitare qualche bel
pesce grosso e saporito... :-)

 qualche vulnerabilità della SDK per applicazioni di terzi.
 
su quest'ultime sarei un po' perplesso visto che se non erro usano
oauth che non fa mai transitare credenziali. al massimo puoi carpire
la secret_key se avessero una vulnerabilità sull'algoritmo di firma,
ma con quella ci fai poco.

 Pare abbiano anche il salt...
 
Pare pure peggio:
 
"According to reports, LinkedIn was not isolating users' credentials
on separate secure machines, and _did not “salt”_ passwords before
encoding"
 
http://www.itweb.co.za/index.php?option=com_content&view=article&id=55590:linkedin-passwords-leaked-after-hack
 
 
--
ale
http://ale.riolo.co.uk
 

 non è detto che fossero *conservate* in chiaro
 
Da quanto ne ho capito fino ad ora, gli hash erano conservati in SHA-1
senza salt (o con un unico salt per tutti, che con 6.5 milioni di hash
è come non averne).
 
Nel 2012 gli hash in SHA-1 senza salt è oltre la negligenza.
 
--
ale
http://ale.riolo.co.uk
 

 proprio
 
paypal, ebay... ;-)
 
 


E' provider OAuth.
 
  ngw

 650, numero non disprezzabile.
 
ipotesi suggestiva, ma come ngw ricorda linkedin fa anche da oauth
provider e questo è di gran lunga più pericoloso. qualsiasi servizio
web che usa linkedin come oauth provider ci entri a colpo sicuro.
 
 

Il 06/06/2012 16.49, Alessandro Riolo ha scritto:
 
HOWTO password cracking on the LinkedIn hashes
 
http://www.reddit.com/tb/upu6g
 
 
 
-- 
http://www.evilripper.net
 
http://www.flickr.com/photos/evilripper/
 

 web che usa linkedin come oauth provider ci entri a colpo sicuro.
 
Meglio ancora.
 

Nel 2012 gli hash in SHA-1 senza salt è oltre la negligenza.
 
 |Infine, il nostro attuale database contenente le password degli
 |account è crittografato con funzione hash e parametro salt.
 |Questo garantisce un ulteriore livello di sicurezza.
 
Com'era la faccenda della stalla e dei buoi?
 
-- 
Ciao, Alessio - 
http://www.sleepers.it
 
 
Materiale in italiano per Agent: 
http://agentit.altervista.org/
 

almeno un 50% di utenti che avrà usato la password dell'email
 
Era già successo qualcosa di simile quando sono state pubblicate mail e
password di accesso ad alcuni account universitari; in quel caso alcune
accoppiate user/pass erano meno che banali, e si potevano usare per
entrare nelle caselle di posta tipo Gmail, Libero, Yahoo.
 
Da lì si poteva cercare qualche comunicazione della banca e...


 Com'era la faccenda della stalla e dei buoi?
 
Tra l'altro, non è detto che dicano la verità.
 
Questo perché se prima avevano gli hash senza salt, come hanno fatto a
ricalcolare tutti gli hash con i salt?
 
Non mi pare che abbiano chiesto a tutti gli utenti di rifare almeno un
login, per cui o avevano tutte le password in chiaro da qualche altra
parte (orrore) oppure mentono (o, ma mi pare molto improbabile, hanno
usato i vecchi hash, che sono però probabilmente tutti compromessi,
come password prima di cancellarli dai loro sistemi).
 
--
ale
http://ale.riolo.co.uk