Pistäkääpäs mielipidettä kehiin kun taas venäläiset "mustahatut" olivat hankkineet salasanoja kepulikonstein. Niitä firmoja/saitteja, jotka olivat hyökkäyksen kohteena, ei ole missään vielä julkisesti mainittu, mutta pääteltävissä on, että mukana on isompia firmoja.
Oletteko sitä mieltä, että salasanat heti vaihtoon tärkeimmistä raha-asioita koskevista firmoista kuten Amazon, eBay jne.?
Entä mikä on todennäköisyys on sille, että venakkojen saamat salasanat ovat "kryptatussa" muodossa? Jos heillä on suoraan ne varsinaiset salasanat, niin he eivät tarvitse muuta, mutta salasanoihin liittyy muutakin -- siteeraus sivustolta http://www.linux.fi/wiki/Salasana:
"Perinteinen Unix-salasana on enintään 8 merkin pituinen. Se ja satunnaisesti valittava 'suola' käytetään salakirjoittamaan tietty bittijono (yleensä pelkkiä nollia) muunnellulla DES-algoritmillä (DES). Käytetty suola ja tuloksena saatu salasanatiiviste kirjoitetaan salasanatiedostoon. Salauksen purku ei onnistu, vaan tietty salasana todetaan oikeaksi toistamalla operaatio samalla suolalla ja vertaamalla tulosta salasanakenttään. Suolan käyttö estää 'sanakirjahyökkäykset': sama salasana eri suolalla antaa eri tulokset.
Unixin alkuaikoina salasanojen murtaminen arvaamalla olisi vaatinut suurta konetehoa, jolloin salasanat voitiin pitää kaikkien luettavissa. Nykyään ne pidetään yleensä vain pääkäyttäjän luettavissa shadow-tiedostossa. Näin järjestelmä voi rajoittaa salasanan arvailua, eikä niitä voi kokeilla sillä nopeudella mitä oman koneen laskuteho sallisi.
Salasanatiedosto saattaa kuitenkin vuotaa. Tässä tapauksessa perinteinen DES-algoritmi ei riitä, koska kaikki mahdolliset salasanat kaikilla eri suolavaihtoehdoilla on mahdollista käydä läpi kutakuinkin järjellisessä ajassa, ainakin jos olettaa salasanat valituiksi jonkin säännön mukaan (ei erikoismerkkejä ja korkeintaan yksi numero tms.).
Nykyään käytössä on tavallisesti MD5-algoritmiin perustuvaa algoritmiä, joka sallii pidemmät salasanat ja siten estää kaikkien mahdollisten salasanojen kokeilemisen. Pidempi salasana ei kuitenkaan auta, jos se on huonosti valittu: tavallinen lause sisältää 'satunnaisuutta' vain noin kolme bittiä merkkiä kohden, jolloin 16-merkkinen huono salasana on merkittävästi huonompi kuin 8-merkkinen hyvä salasana.
Myös muita salasanatiivisteitä on käytössä, esimerkiksi SHA- tai Blowfish-algoritmeihin perustuvia."
Sekä täällä myös keskustelua asiasta: http://www.ohjelmointiputka.net/keskustelu/25713-salasanojen-suolaus/sivu-1
Oletteko sitä mieltä, että salasanat heti vaihtoon tärkeimmistä raha-asioita koskevista firmoista kuten Amazon, eBay jne.?
Entä mikä on todennäköisyys on sille, että venakkojen saamat salasanat ovat "kryptatussa" muodossa? Jos heillä on suoraan ne varsinaiset salasanat, niin he eivät tarvitse muuta, mutta salasanoihin liittyy muutakin -- siteeraus sivustolta http://www.linux.fi/wiki/Salasana:
"Perinteinen Unix-salasana on enintään 8 merkin pituinen. Se ja satunnaisesti valittava 'suola' käytetään salakirjoittamaan tietty bittijono (yleensä pelkkiä nollia) muunnellulla DES-algoritmillä (DES). Käytetty suola ja tuloksena saatu salasanatiiviste kirjoitetaan salasanatiedostoon. Salauksen purku ei onnistu, vaan tietty salasana todetaan oikeaksi toistamalla operaatio samalla suolalla ja vertaamalla tulosta salasanakenttään. Suolan käyttö estää 'sanakirjahyökkäykset': sama salasana eri suolalla antaa eri tulokset.
Unixin alkuaikoina salasanojen murtaminen arvaamalla olisi vaatinut suurta konetehoa, jolloin salasanat voitiin pitää kaikkien luettavissa. Nykyään ne pidetään yleensä vain pääkäyttäjän luettavissa shadow-tiedostossa. Näin järjestelmä voi rajoittaa salasanan arvailua, eikä niitä voi kokeilla sillä nopeudella mitä oman koneen laskuteho sallisi.
Salasanatiedosto saattaa kuitenkin vuotaa. Tässä tapauksessa perinteinen DES-algoritmi ei riitä, koska kaikki mahdolliset salasanat kaikilla eri suolavaihtoehdoilla on mahdollista käydä läpi kutakuinkin järjellisessä ajassa, ainakin jos olettaa salasanat valituiksi jonkin säännön mukaan (ei erikoismerkkejä ja korkeintaan yksi numero tms.).
Nykyään käytössä on tavallisesti MD5-algoritmiin perustuvaa algoritmiä, joka sallii pidemmät salasanat ja siten estää kaikkien mahdollisten salasanojen kokeilemisen. Pidempi salasana ei kuitenkaan auta, jos se on huonosti valittu: tavallinen lause sisältää 'satunnaisuutta' vain noin kolme bittiä merkkiä kohden, jolloin 16-merkkinen huono salasana on merkittävästi huonompi kuin 8-merkkinen hyvä salasana.
Myös muita salasanatiivisteitä on käytössä, esimerkiksi SHA- tai Blowfish-algoritmeihin perustuvia."
Sekä täällä myös keskustelua asiasta: http://www.ohjelmointiputka.net/keskustelu/25713-salasanojen-suolaus/sivu-1
Vastaukset 11
Vanhimmat
Tästä tulee etusivun juttu. Ihan varmasti.
Aika paljon näköjään vuotanut noita käyttäjätietoja. Eikä tietenkään voida kertoa, mitkä palvelut ovat töpeksineet. Tosi paljon hyötyä, kun ei tiedä mitä salasanoja pitäisi käydä vaihtamassa.
Monella oli ihan tässä lähiaikoina ongelmia Facebookin kanssa, olisiko mahdollisesti jokin yhteys olemassa näiden asioden välillä?
Onneksi on KeePass käytössä, helpottaa hommaa...
Mikä on keepas?
Keep Ass.
Se on semmoinen hyvä salasananhallintaohjelma. Suosittelen.
http://keepass.info/
"Eikä tietenkään voida kertoa, mitkä palvelut ovat töpeksineet."
Kuulostaa siltä, että suuryhtiöt eivät halua paljastaa jos ovat joutuneet onnistuneen hyökkäyksen kohteeksi. Tai sitten vaikenemiseen on jokin toinen syy.
On niitä muitakin KeePassin lisäksi.
Katsoin, että esim. Mintille on monia ilmaisia, toimivia työpöytäohjelmavaihtoehtoja. Ongelmana on, että eivät välttämättä toimi Windowsissa. Kun kerta moni ei jaksa konfiguroida Windowsista erikseen turvallista (eli luoda erillistä rajoitettua käyttäjätiliä), niin voisi hoitaa kaiken surffailun Linuxilla tai Macilla. Siten tuollainen yhdellä alustalla toimiva ohjelma riittäisi.
Jos salasanat ovat ns. pilvessä, niin silloin ne olisivat alustasta riippumatta käytettävissä, mutta tuolloin olisi se riski, että joku saa nekin käsiinsä murtautumalla sille pilvipalvelulle, jossa niitä säilytetään. Silloin pahimmassa tapauksessa rikollisille päätyisi kerralla satoja salasanoja ja jos se pilvipalvelu on ainoa paikka, jossa niitä säilytetään, niin käyttäjän olisi muistettava, mihin kaikkialle sitä onkaan tullut luotua asiakastilejä.
"ja taas mennään..."
-Kieltämättä vit*****, että n. joka toinen kuukausi saa lukea näistä isommista salasanaryöstöistä. Ei voi sanoa muuta kuin että 'tarttis tehrä jotain', koska tämä nykyinen käyttäjätunnus salasana -yhdistelmä on sen verran riskialtis näiden jatkuvien hyökkäysten vuoksi. Tarvittaisiin kai sitten modernimpaa kirjautumista siitäkin huolimatta, että aikaa kuluisi enemmän kuin salasanan & käyttäjänimen naputteluun.
No jos vaihtaa tärkeimmät, niin eivät ainakaan pääse rahoihin ja luottokorttitietoihin käsiksi.
Ongelmana on, että monella noita käyttäjätilejä on satoja. Siitä sitten vaihtelet salasanoja viikon päivät?
Sanoisin, että fiksuinta olisi nyt poistaa mahdollisimman monta käyttäjätiliä. Tämä on tietysti tehty tarkoituksella vaikeaksi kun kaupat yms. eivät halua menettää asiakkaitaan, vaan pitävät käyttämättömiksi jääneistä käyttäjätileistäänkin kiinni kynsin ja hampain.
Toki nykyään mitä tahansa tehdäkseen tarvitsee sen ***** rekisteröinnin. Tästä on tosin aika paljon haittaa näiden venäläishakkereiden tapaisten "blackhatien" vuoksi kun saa n. joka toinen kuukausi lukea, että X-määrä salasanoja on hakkereiden käsissä. herää kysymys, kuinka monesta tapauksesta firmat ovat hiljaa.
http://www.itviikko.fi/uutiset/2014/08/08/varastivatko-venalaiset-todella-12-miljardia-salasanaa/201411031/7
Epäilyksiä riittää.
Hyvää tuossa olisi se, ettei olisikaan syytä salasanojen vaihtorumbaan. Sanotaanko kuitenkin näin, että helposti on tähänkin mennessä lähtenyt noita salasanoja lähinnä joillakin anonyymien DDoS-hyökkäyksiin perustuvilla taktiikoilla tai sillä, että saadaan huoltomiesten koneet saastutettua. En siinä mielessä pidä mitenkään mahdottomana, että nytkin olisi kirjautumistunnuksia päätynyt rikollisten käsiin, vaikka tuon yhtiön hyötyminen tästä salasanakeissistä näyttää osittain vähän epäilyttävältä. Voihan kuitenkin olla, että päättömästä ilmoittelustakin iskee lain pitkä koura ja tuo voisi selvitä jos olisi vastoin tositapahtumia peloteltu ihmisiä salasanojen katoamisilla.
Koko juttu tarkoittaa muuten osittain sitä, että:
-sivustojen ylläpitäjätahot voisivat ottaa itseään niskasta kiinni ja laittaa turvallisuuden prioriteettilistan kärkeen, ettei teinipoikien DDOS-hyökkäykset johda kirjautumistunnusten anastamiseen
-otetaan kokonaan toinen ilmoittamisperiaate, eli firmoilla on sanktioiden uhalla velvollisuus ilmoittaa jos salasanoja on päätynyt rikollisten käsiin (tähän mennessähän ne ovat olleet hiirenhiljaa, ettei vain maine mene)