Θύμα hacker το LinkedIn και υποκλοπή 6.5 εκατομμυρίων κωδικών πρόσβασης

[Praetorian]

Δεδομένου ότι βάζεις μόνο τον κωδικό, δεν μπορώ να καταλάβω γιατί να είναι επικίνδυνο.

1. Ειναι κακη πρακτικη.

2. Ο κωδικος σου ειναι αγνωστος, το login σου μπορουν να το βρουν πολυ πιο ευκολα (συνηθως η λιστα με ολα τα logins ειναι πολυ πιο ευκολα προσβασιμη και το να κανουν καποιους συνδυασμους ανα δυο (Login+password) υποθετω οτι δεν ειναι και πολυ δυσκολο.

3. Ο browser σου μπορει να δινει προσθετα στοιχεια που θα υποδεικνυουν την ταυτοτητα σου η καποια hints για αυτη.

4. Πολλοι (επισης κακη πρακτικη) χρησιμοποιουν ιδιο κωδικο για πολλα αλλα sites ..

Και πιθανοτατα αρκετοι παραπανω λογοι...

 

Btw:

A few quick notes:

 

1. Yes, it is wrong to provide your password for one site to a completely different site. We're no different, and this almost prevented us from making this tool.

 

2. The password dump we have is not guaranteed to be complete. In fact, I wouldn't be surprised if someone has a dump of the entire database that also includes email addresses. The scary truth is that we simply don't know.

 

3. You should assume your LinkedIn password, and especially the hash of your LinkedIn password, is already in the open. Providing it to LeakedIn enforces a bad habit, but it's not exactly the same as the password anti-pattern. I do not think direct comparisons are accurate or fair. I may explain why in more detail later.

 

4. Like many of you, I also changed my LinkedIn password, but since they don't know how this happened yet, they haven't fixed anything. Therefore, we should assume that our new LinkedIn passwords are also compromised.

 

Hopefully this answers a few of the most common questions.

Και η δικη τους προταση for what is worth, ειναι να αλλαξεις πρωτα το password σου στο LinkedIn και επειτα να δοκιμασεις το παλιο στο LeakedIn (παλι μπαζει, και λογω του 2 που αναφερουν οι ιδιοι).

 

http://shiflett.org/blog/2012/jun/leakedin#comment-27

[Gi0]

Δεδομένου ότι βάζεις μόνο τον κωδικό, δεν μπορώ να καταλάβω γιατί να είναι επικίνδυνο.

Το LinkedIn δεν εχει ιδεα ακομα πως εγινε το leak. Ποιος μου λεει οτι δεν αντιγραψαν καποιον αλλο πινακα της βασης, περα απο αυτον με τα hashed passwords? Ας πουμε για παραδειγμα αυτον με τα Usernames. Ή τα Emails. Δεν ειναι και δυσκολη η ταυτιση στη συνεχεια.

Επειδη δεν το ξερουμε, δεν σημαινει πως δεν μπορει να εγινε.

[damastes]

Παίδες και το last.fm είχε leak, αλλάξτε τα Password οσοι έχετε

 

Πηγή: last.fm

[Gi0]

Μια απτα ιδια ισχυουν και για το eHarmony.

Good times

[Hal9000]

Το LinkedIn δεν εχει ιδεα ακομα πως εγινε το leak. Ποιος μου λεει οτι δεν αντιγραψαν καποιον αλλο πινακα της βασης, περα απο αυτον με τα hashed passwords? Ας πουμε για παραδειγμα αυτον με τα Usernames. Ή τα Emails. Δεν ειναι και δυσκολη η ταυτιση στη συνεχεια.

Επειδη δεν το ξερουμε, δεν σημαινει πως δεν μπορει να εγινε.

 

Σε νέα του ανακοίνωση το linkedin λέει ότι δε διέρρευσαν τα email και επιτέλους θα απενεργοποιήσει τους κωδικούς από το σύνολο των λογαριασμών που δεν έχουν γίνει decode.

 

 

http://blog.linkedin.com/2012/06/07/taking-steps-to-protect-our-members/

[Gi0]

Σε νέα του ανακοίνωση το linkedin λέει ότι δε διέρρευσαν τα email και επιτέλους θα απενεργοποιήσει τους κωδικούς από το σύνολο των λογαριασμών που δεν έχουν γίνει decode.

http://blog.linkedin...ct-our-members/

Κατι το οποιο δεν γνωριζε κανενας και δεν μπορουσε να επιβεβαιωσει ουτε το linkedin οταν εμφανιστηκε το "checking" site και πολλοι επελεξαν να ελεγξουν για πιθανη διαρροη του hashed password τους.

Για την ιστορια, η διαδοση του συγκεκριμενου site μεταξυ αλλων και απο security professionals, πιθανοτατα οδηγει στο συμπερασμα πως δεν υπαρχει κατι επιφοβο μαζι του και αν ηταν να πονταρω, εκει θα εβαζα τα λεφτα μου.

Παρ ολα αυτα, αποψη μου ειναι πως καλο ειναι να εχει κανεις οσο το δυνατον πιο σφαιρικη εικονα γινεται. Γι αυτο παρεθεσα ενα -ισως τραβηγμενο- λογο για τον οποιο δεν θα πρεπε κανεις να εμπιστευτεται τυφλα ενα site που λεει πως εχει καλες διαθεσεις.

[mimidon]

http://queue.acm.org/detail.cfm?id=2254400