SIEDEM MILIONÓW Zhakowanych kont Minecraft

To krótka opowieść o blokach, złamanym zaufaniu, zagrożonych kontach, zatuszowaniach i jednej z najpopularniejszych stron społecznościowych Minecraft. Rachunki ponad 7 milionów członków Łódź ratunkowa zostały naruszone na początku tego roku, a dane podobno zostały sprzedane największym oferentom w Dark Net.

7 milionów użytkowników!

Ogromne naruszenie zostało wykryte w styczniu Bądź na bieżąco z najnowszymi wyciekami danych - Śledź 5 usług i źródeł danych Bądź na bieżąco z najnowszymi wyciekami danych - Śledź tych 5 usług i źródeł danych Troy Hunt, badacz bezpieczeństwa Czy zostałem zawstydzony? strona z powiadomieniem o naruszeniu. Otrzymał wskazówkę dotyczącą danych od osoby aktywnie zaangażowanej w handel zhakowanymi danymi logowania, a w przeszłości otrzymał inne dane od tej osoby.

“Dane zostały dostarczone mi przez osobę aktywnie zaangażowaną w handel, która przesłała mi inne dane w przeszłości”

Jego odkrycie ujawniło brak bezpieczeństwa w Lifeboat oraz równie mało wiarygodną sekwencję wydarzeń po naruszeniu.

Nowe naruszenie: w styczniu społeczność Minecraft „Lifeboat” ujawniła 7 milionów kont. 6% było już w @haveibeenpwned https://t.co/LGaAniJH32

- Czy zostałem skazany? (@haveibeenpwned) 26 kwietnia 2016 r

Lifeboat obsługuje serwery dla niestandardowych środowisk gry Minecraft Pocket Edition. Czy powinieneś zdobyć Minecraft Windows 10 Edition? Jeśli kupiłeś Minecraft w przeszłości, możesz uzyskać wersję Windows 10 za darmo. W przeciwnym razie możesz skorzystać z 90-minutowej bezpłatnej wersji próbnej. Tymczasem zobacz, jak podobało nam się Minecraft na Windows 10.. Pozwala graczom korzystającym z mobilnej wersji bardzo popularnego kreatora wokseli 10 Indie City i konstruktorów baz już teraz! 10 niezależnych konstruktorów miast i baz już teraz! Istnieje mnóstwo niezależnych programistów pracujących nad wieloma niesamowitymi grami w stylu miejskim i podstawowym. Rzućmy okiem na najlepszych niezależnych budowniczych baz i miast, w których możesz zagrać… aby wziąć udział w różnych trybach gry wieloosobowej, takich jak Capture the Flag lub Survival. Użytkownicy Lifeboat łączą się z serwerem społeczności, rejestrując swoją nazwę użytkownika za pomocą adresu e-mail i hasła. Całkiem standardowe rzeczy.

Lifeboat, nie wiedząc o tym użytkownikom, następnie zaszyfrował hasła za pomocą niesławnie słabego algorytmu MD5, co oznacza, że ​​hasła można łatwo złamać za pomocą podstawowych (i łatwo dostępnych) narzędzi.

Po przecieku

Gdy firma doświadcza naruszenia danych obejmującego dane osobowe jej użytkowników, powszechnym działaniem jest informowanie ich, dlaczego firmy utrzymujące w tajemnicy naruszenia mogą być dobrą rzeczą, dlaczego firmy utrzymujące w tajemnicy mogą być dobrą informacją, mając tak wiele informacji. online, wszyscy martwimy się o potencjalne naruszenia bezpieczeństwa. Ale te naruszenia mogą być trzymane w tajemnicy w USA, aby cię chronić. Brzmi szalenie, więc co się dzieje? . Powiadomienie użytkowników o ich prywatnym adresie e-mail i haśle do konta zostało niestety uzyskane przez potencjalnie złośliwy podmiot. To wydaje się całkiem rozsądne.

Lifeboat zaniedbał wykonywanie tego pozornie podstawowego zadania, zamiast tego zdecydował, że ponieważ naruszone dane nie zawierają żadnych informacji finansowych, prawdopodobnie wystarczy cichy reset hasła w całej witrynie. Nawet wtedy historia błędu bezpieczeństwa trwa, a Lifeboat doradza użytkownikom tworzenie krótkich haseł - dosłownie przeciwieństwo powszechnie przyjętej praktyki generowania haseł. 7 błędów hasła, które prawdopodobnie zostaną zhakowane 7 błędów hasła, które prawdopodobnie spowodują zhakowanie Najgorsze hasła Wydano 2015 rok i są one dość niepokojące. Ale pokazują, że absolutnie niezbędne jest wzmocnienie słabych haseł za pomocą kilku prostych poprawek. .

“Nawiasem mówiąc, zalecamy krótkie, ale trudne do odgadnięcia hasła. To nie jest bankowość internetowa.”

Jednak pomimo twierdzeń Lifeboat o resecie hasła w całej witrynie, wielu użytkowników, z którymi skontaktowano się w związku z naruszeniem, odpowiedziało negatywnie, mówiąc, że nie otrzymało takiego e-maila dotyczącego resetowania ani powiadomienia podczas wchodzenia do gry lub łączenia się z serwerem Lifeboat.

“Szkoda, że ​​zostały naruszone w pierwszej kolejności, ale nie mówienie o tym jest jeszcze gorsze”

Co poszło nie tak?

Naruszenie danych Lifeboat brzmi jak lista rzeczy, których nie należy robić w nagłych przypadkach. Samo naruszenie natychmiast umieściło na # 7 w Czy zostałem zawstydzony top 10.

Zwrócono uwagę na systematyczne błędy. Naruszono nie tylko adres e-mail i hasła, ale także zachęcano użytkowników do osłabienia własnej szansy na zapewnienie bezpieczeństwa danych osobowych poprzez niewłaściwe zalecenie hasła. Następnie, naprawdę, Lifeboat zaszyfrował hasła przy użyciu łatwo szyfrowalnej metody szyfrowania.

MD5

Gdyby Lifeboat wybrał odwrotną radę - używaj dłuższych haseł zawierających kombinację liter, cyfr i symboli - dane byłyby znacznie mniej atrakcyjne dla tych podmiotów zajmujących się handlem danymi. Zastanów się: hasło zawierające sześć znaków alfanumerycznych jest ograniczone do zaledwie 62⁶ (26 małych liter, 26 wielkich liter, cyfry 0–9). Nawet przy użyciu podstawowych narzędzi online, badacze bezpieczeństwa lub złośliwe strony będą mieć złamane hasło za kilka tygodni. Narzędzia offline, używając potężnego komputera, zostaną włamane sekundy.

Straszną radą związaną z hasłem była ich własna kiepska ochrona. Lifeboat wybrał niesolone skróty MD5, aby ukryć hasła w postaci zwykłego tekstu. Oferując podstawowy poziom ochrony, MD5 został zaprojektowany tak, aby oferować niezwykle szybkie szyfrowanie bez użycia zasobów. Jak działa szyfrowanie i czy jest naprawdę bezpieczne? Jak działa szyfrowanie i czy jest naprawdę bezpieczne? . Dzięki genezie cechy te sprawiły, że MD5 było bardzo przydatnym narzędziem. Większość komputerów detalicznych po prostu nie miała wystarczającej mocy, aby złamać szyfrowanie.

Jednak czasy się zmieniają, a nasze komputery domowe są znacznie lepsze niż te opracowane dziesięć lat temu, drastycznie podważając skuteczność wszystkiego, co zostało zaszyfrowane przy użyciu MD5.

Niesolone hasła

I po prostu wcierać sól w ranę, Łódź ratunkowa popełniła ostatni błąd. Hasła MD5 chroniące hasła były niesolone Co to wszystko Hash Rzeczy MD5 tak naprawdę [Technologia wyjaśniona] Co to wszystko Rzeczy MDash Hash Rzeczywiście [Technologia wyjaśniona] Oto pełne podsumowanie MD5, haszowanie oraz mały przegląd komputerów i kryptografii . . Oznacza to, że hasła w postaci zwykłego tekstu nie zostały połączone z unikalną wartością dla każdego konta użytkownika, co znacznie ułatwia proces łamania i dopasowywania.

Solenie zasadniczo zapewnia, że ​​każde indywidualnie zaszyfrowane hasło jest całkowicie unikalne, nawet jeśli zawierają identyczne znaki. Każdy, kto chce zobaczyć hasła, musiałby złamać każdy skrót osobno.

Bezpieczny powrót?

Łódź ratunkowa nie wydała zbyt wielu oświadczeń dotyczących naruszenia. Uważam, że ich stanowisko pozostaje takie, że chociaż naruszenie danych jest naganne, ponieważ nie przechowują żadnych dodatkowych danych osobowych ani finansowych, szkoda powinna być stosunkowo ograniczona. Lifeboat potwierdził również, że MD5 nie jest już używany w witrynie ani na żadnym z jej serwerów.

“Kiedy stało się to [na początku stycznia], stwierdziliśmy, że najlepszą rzeczą dla naszych graczy jest ciche wymuszenie resetowania hasła bez informowania hakerów, że mają ograniczony czas na działanie. Robiliśmy to przez kilka tygodni.”

Nawet jeśli bezpośrednie obrażenia są ograniczone, może nastąpić inny opad. Ludzie są na ogół leniwi, jeśli chodzi o hasła, używając tylko garstki do ochrony wszystkich swoich kont internetowych.

„Dosłownie wszystkie moje hasła, media społecznościowe, serwery Pe, e-mail itp. Były tym hasłem, czy muszę je wszystkie zmienić?” https://t.co/f2sh4Lz20f

- Troy Hunt (@troyhunt) 28 kwietnia 2016 r

Chociaż ryzyko pojedynczego naruszenia ujawniającego wiele kont jest zwiększone, lekcja powinna być jasna: jeśli naprawdę zależy Ci na świętości swoich kont, swoich prywatnych, osobistych danych i innych, użyj silnego, unikalnego hasła dla każdego z nich. Gdy więc usługa zostanie naruszona, nie staniesz się statystyką.

Nawiasem mówiąc, użytkownicy Lifeboat: czas się zmienić wszystkie Twoje Hasła.

Czy miałeś wpływ na hak łodzi ratunkowej? Czy zaufasz Lifeboat ponownie? Jak śledzisz swoje hasła? Daj nam znać poniżej!