MD5

[spYro]

Aber die Passwörter bei S2 werden ja hoffentlich mindestens per salted MD5, wenn nicht mit besseren Algorythmen geschützt, oder?

[Tatsukishi]

Das wäre jetzt auch meine Frage: Waren die Passwörter verschlüsselt? Und wenn ja: wie?

Wobei generell genauere Angaben (welche Daten sind wahrscheinlich kopiert worden?) schön gewesen wären, zumal das Forum momentan down ist.

Suboptimal finde ich ja auch, dass man momentan nichtmal herausfinden kann, welches Passwort man benutzt hat.... sowas weiss nicht jeder, bei mir ist das immer ein Trial and Error :>



2 mal bearbeitet, zuletzt am 17.12.12 12:44 durch Tatsukishi.

[spYro]

Tatsukishi schrieb:
--------------------------------------------------------------------------------
> Das wäre jetzt auch meine Frage: Waren die Passwörter verschlüsselt? Und
> wenn ja: wie?
>
> Wobei generell genauere Angaben (welche Daten sind wahrscheinlich kopiert
> worden?) schön gewesen wären, zumal das Forum momentan down ist.
>
> Suboptimal finde ich ja auch, dass man momentan nichtmal herausfinden kann,
> welches Passwort man benutzt hat.... sowas weiss nicht jeder, bei mir ist
> das immer ein Trial and Error :>


Letzteres Problem ist aber deines bzw. das der vielen anderen ;)

Aber da es sich generell um einen Einbruch ins Sicherheitssystem von S2 gehandelt hat, kann S2 vermutlich nur schwer sagen, auf welche Daten zugegriffen werden HÄTTE können und welche tatsächlich kopiert wurden.

LG spYro

[darkschasu]

Auch verschlüsseln der Daten hilft bei solch einem Angriff nicht viel. Die Passwörter können beispielsweise beim Login auf der Website ja schon vor dem Datenbankzugriff abgefangen worden sein. Client-Seitige Passwort Verschlüsselung ist für Websites immer noch sehr selten.

[dakira]

spYro schrieb:
--------------------------------------------------------------------------------
> Aber die Passwörter bei S2 werden ja hoffentlich mindestens per salted MD5,
> wenn nicht mit besseren Algorythmen geschützt, oder?

Die Passworthashes waren laut Hacker individuell gesalzen. Er selbst meint, dass der salt so kurz ist, dass es fast nichts bringt. Diese Aussage kann ich allerdings nicht nachvollziehen. Ich glaube der Typ ist ein Idiot.

Individually salted hashes heisst, dass er eben nicht einfach eine rainbow-table nehmen kann und - wie kurz der salt auch ist - jedes Passwort einzeln per brute-force errechnet werden muss. Die Passwörter sind also relativ sicher, wenn das stimmt.