Ashley Madison dobro varovala gesla, ostalega pa ne

Po objavi podatkov iz vdorov je vsakokrat med prvimi na vrsti analiza gesel, kolikor jih je pač mogoče razbiti. Strokovnjaki so to naredili tudi za napad na Ashley Madison, ki je za gesla primerno skrbela. Žal bo to bolj slaba uteha za razgaljene uporabnike, saj je stran o prešuštnikih eden izmed redkih primerov, kjer so ostali osebni podatki poleg gesla in številk kreditnih kartic (teh niso uspeli odtujiti) ravno tako pomembni.

Gesel ne smemo nikoli shranjevati kot besedilo (plain-text), saj so tako v primeru vdora izpostavljena napadalcem. Prijavo v napadeno spletno stran že omejimo, a žal uporabniki gesla velikokrat reciklirajo tudi drugje, zato se s tem odpre Pandorina skrinjica tatvin identitete. Dobra praksa je hranjenje gesel v šifrirani obliki (salted hash). V tem primeru se vsakemu geslu doda naključen niz (salt), potem pa se celota pošlje v zgoščevalno funkcijo (hash). Rezultat je niz, iz katerega je nemogoče nazaj izračunati geslo. Vsakokratno preverjanje pa je seveda enostavno, saj se iz vnesenega gesla in salta, ki je zapisan v bazi, izračuna hash in preveri, če se ujema s tistim v bazi. In ista gesla imajo tako različen hash v bazi, ker imajo različen salt, korelacije pa ni mogoče ugotoviti.

Stran Ashley Madison tu ni ubirala bližnjic, saj so gesla varovali z močnim algoritmom bcrypt. Dan Pierce je preverjal, kako varna so, in uspel je razbiti vsega 0,0668 odstotka gesel. Lotil se jih je s slovarskim napadom, in sicer je iskal enaka gesla, kot so znana iz napada na Rock You leta 2009, kjer so bila gesla shranjena v tekstovni obliki. Izračunal je, da bi za zlom vseh gesel potreboval 20.000 let na namenskem računalniku. Med gesli, ki jih je vendarle uspel razbiti, seveda prednjačijo najmanj varna gesla: 123456, password, 12345, qwerty, 12345678 in ashley.

Žal gesla v tem primeru niso vse. Na internet so ušli še vsi ostali osebni podatki, kar bo imetnikom računov nakopalo vsaj tako velike probleme, kot bi jih razkrita gesla. Tu se zgodba za Ashley Madison zaplete, saj so ves čas obratovanja svojim strankam ponujali popoln izbris vseh podatkov za 19 dolarjev. Analiza je pokazala, da ta popoln izbris še zdaleč ni tako popoln, kot so oglaševali. Izbrisali so ime, naslov, telefonsko številko, elektronski naslov in opise (podroben seznam), ostali pa so nekateri drugi podatki, med njimi tudi zemljepisne koordinate.

In to je Ashley Madison že prineslo tožbo, v kateri jo nekdanji uporabniki tožijo zaradi razkritja podatkov. Zgodba bo zagotovo še zelo zanimiva, saj na dan prihajajo tudi druge zanimive statistike - med njimi ta, da na strani skoraj ni bilo aktivnih uporabnic.