400.000 svenska Adobe-lösenord läckta
Säkerhetsintrånget hos Adobe är större än vad som rapporterades initialt. Totalt har 130 miljoner kunduppgifter har läckt ut, varav cirka 400.000 svenska.
Uppgiftera kommer från det svenska it-säkerhetsföretaget Truesec och bekräftas amerikanska it-experter till Reuters.
Lösenorden är visserligen krypterade, men krypteringen är inte särskilt avancerad. Flera säkerhetsexperter rekommenderar att alla Adobe kunder byter lösenord.
Om samma kombination av mejladress och lösenord används på andra ställen bör dessa lösenord också bytas. Enligt Macworld använder 6 av 10 samma lösenord på flera webbplatser.
David Lindahl, IT-säkerhetsforskare vid Totalförsvarets forskningsinstitut (FOI) har tidigare sagt i en SVT-intervju att det är bättre att ha ett svårt ord som man väljer slumpmässigt och en kom-ihåg-lapp under skrivbordet, än att använda samma lösenord på flera sajter.
– Risken att råka ut för en skurk på nätet som stjäl ditt lösenord är mycket större än att någon skulle stjäla den där lappen under tangentbordet.
Läs mer
Plusmedlemskap kostar 349 kr per år
35 Kommentarer
Logga in för att kommentera
Apropå att välja lösenord kan man också glo på den här och fundera lite, den är rätt så relevant: http://xkcd.com/936/
AES är en f.ö. en symmetrisk kryptoalgoritm medan SHA är en digest hash-algoritm. Att kryptera reversibelt med ett lagrat kryptolösenord vill man ju definitivt inte att siterna gör.
En stark hash från en beprövad känd algoritm som dessutom använder salt är bäst, men att inte publicera vilken algoritm som används kan öka säkerheten för den informationen är en oumbärlig för knäckning.
http://arstechnica.com/security/2013/11/how-an-epic-blunder-by-adobe-could-strengthen-hand-of-password-crackers/
Huruvida det ökar säkerheten att hålla tyst om vilka algoritmer man använder kan man säkert argumentera. Man kan även fundera på hur trygga användarna (speciellt de som har en del kunskaper) är med att mötas av en svart låda där man inte har en aning om ifall man använder en svag algoritm som DES eller något i dagens mått mätt säkrare som AES. Man kan ta samma argumentation med digests.
Ja, det är helt sant, Fotosidan har också mitt lösenord, och jag är inte alltid så noga som jag tycker jag borde vara. Jag tror å andra sidan inte att Fotosidan är lika stora och utsatta som Adobe. Det där med att avväga paranoja mot användbarhet, du vet...
Sanningen är att för datorer är det inte ett dugg knepigare :-)
Dictionary-attacks används inte längre, utan med brute-force teknik om det är en känt vilken hash-algoritm som används är det enbart längden på lösenordet och i viss mån vilka teckengrupper det består av som har någon betydelse. 14 likadana tecken är säkrare än 10 blandade tecken.
Nu är brute-force en tungjobbad operation som tar lång tid även på kraftfulla datorer, så därför har vissa istället gjort s.k. rainbow-tables för de vanligaste hash-algoritmerna. Det är alltså förknäckta lösenord som de lagt in i stora databaser. En 50GB stor databas tar bara några sekunder att göra en table-scan på och med smart indexering kan det snabbas upp i de flesta fall för de flesta lösenorden.
De har tagit många månader att producera dessa databaser på riktigt snabba datorer eller genom timesharing-cluster på Internet så att tiotusentals vanliga datorer använts för att göra var sin lilla del av detta. Hacker-communitiet har nuförtiden tillgång till extremt mycket datakraft genom sådana tekniker, vilket tidigare inte ens var möjligt för olika länders superdatacenter.
Dessa tables går att ladda ner och de med större teckenuppsättningar finns att köpa. Att göra en databassökning i en snabb sql-server är ruskigt mycket snabbare än att beräkna varje hash-möjlighet.
Det finns olika teckenuppsättningar som dessa är genererade från, så det är alltid bra att ha med speciella tecken.
Av dem jag sett så finns det tabeller baserade på engelska, engelska med special characters och olika språkversioners bl.a. tyska och spanska, men jag har inte sett till någon specifik svensk version och där har vi tecknen å och Å som särskiljer oss från andra, så att ha med ett av dessa och helst i kombination med något från en annan uppsättning, t.ex. ü eller liknande och sä ökar säkerheten rejält.
Fast det kanske du redan har tänkt på :-)
Om du däremot har lösenord kortare än 15 tecken utan "å" i så bör du inte känna dig alltför trygg...
Att ha en lång passfras som är enkel att minnas och som innehåller något underligt kreativt stavat ord med specialtecken och just vårt svenska å är riktigt bra. Att inte ha samma lösenord på alla ställen är också vettigt, men det behöver inte göra det omöjligt, bara ett teckens skillnad i början räcker och med olika grupperingar av sajter kan man enj´kelt lösa det med lite finurlighet så att man har starka lösenord och enkelt kan komma ihåg dem.
Det går på några sekunder att få svar.
Här är sidan där ni kan kolla om ni är med på listan:
https://lastpass.com/adobe/
Jagfick snabbt svaret att jag fanns med på listan vilket jag redan tidigare var ganska säker på.
Adobe Has Been Hacked!
Adobe has confirmed that hackers infiltrated their network and stole millions of customer emails and encrypted passwords. They have further acknowledged that your password hint, name, encrypted credit card number, card expiration date, and other confidential information may also have been leaked. An analysis of the hack by Paul Ducklin of Sophos states that 150 million users have been affected and that the encryption methods used to protect customer data are extremely weak.
Was My Adobe Account Hacked?
If you would like to find out if your Adobe account was one of the 150 million that were leaked, you can use the below tool:
Enter your email address here:
Your Adobe account was one of the ones that was compromised.
Your email address and encrypted Adobe password were found in the list of stolen Adobe accounts.
Did you know that 369 other people used the same password as you did for their Adobe account? Hackers have their password hints and can use them to guess your password too!
We have sent an email to [email protected] with instructions on how to obtain your Adobe password hint as well as everyone else's password hint who used the same password.
We strongly urge you to follow our recommendations and immediately change your Adobe and related passwords!!
Mitt lösenord var medelstort och inget av de vanliga enkla. Ändå har 369 personer till samma.
Såg att ende av de enklast används av många 100 000 användare.
Så fort jag såg Adobe hackats så skaffade jag 1Password så jag kan ha olika passord på samtliga viktiga konton.
Nu vet jag inte i Adobes fall om det gör så mycket om någon skulle logga på och ladda ner photoshop gratis. Det är värre att Adobe också fick kreditkortsinformationen hackad och nerladddad. Det skulle kunna skapa mer problem för mig. Nu har redan Swedbank skickat till mig ett nytt kort så det bör vara säkert. Vad de många miljoner andra vars kort också finns med på listan upplevt har man inte sett någon information om.
Jag har i alla händelser bytt strategi och kör unika komplicerade lösenord på alla viktiga sajter. Nu får man bara hoppas att inte 1Password kraschar för dessa lösenord har man ingen chans att hålla reda på. Till det krävs en fungerande mjukvara.
GPU-stuffed monster cracks Windows passwords in minutes
That's what you get for using a crap hashing algo
By John Leyden, 7th December 2012
81
RELATED STORIES
'End of passwords' predictions are premature - Cambridge boffin
Your smartphone browser: A ZOMBIE in password-crunching botnet
Marlinspike demos MS-CHAPv2 crack
Updated German 'hacker' uses rented computing to crack hashing algorithm
SSD tools crack passwords 100 times faster
print
alert
inShare
submit to reddit
MORE READING
Gpu
Password Security
Password Cracking
Free Regcast : Managing Multi-Vendor Devices with System Centre 2012
Security researchers have put together a monster number-crunching rig capable of cracking strong passwords by brute force in minutes.
Jeremi Gosney (aka epixoip) demonstrated a machine running the HashCat password cracking program across a cluster of five servers equipped with 25 AMD Radeon GPUs at the Passwords^12 conference in Oslo, Norway.
Gosney’s system means that even strong passwords protected by weak one-way encryption algorithms, notably the one used in Microsoft's LM and NTLM, are vulnerable.
A 14-character Windows XP password hashed using Lan Manager can be cracked from its hash value in just six minutes. LM splits a 14-character password into two seven-character strings before hashing them, which means it's a good deal less secure than an eight character password hashed with other encryption schemes. Brute forcing an eight-character password would take 5.5 hours, Security Ledger reports.
The attack could be run against leaked password hashes but not login methods directly. Since data breaches are by no means rare, this is not much of a barrier against misuse.
Services such as WPACracker and CloudCracker, a cloud-based platform for penetration testers, have already shown that older encryption algorithms and shorter passwords are hopelessly insecure. Gosney's research further underlines the point. ®
Jag var tvingad att byta lösenordet när jag försökte logga in på Adobes hemsida. Jag fick inte ha samma som förut heller.
Tar du lösenordet: CocaCola lägger en dynamisk salt tex baserad på användarens skapelsedatum, veckodag, plus ett statiskt salt
Datum: 131111
Dag: söndag
Statiskt salt: qvyxr7bx5:8
Co1311söndcacoqvyxr11agla7bx5:8
Hashar det med en skaplig algoritm och saltar hashen så får du en en svårknäckt lösenord.
Naturligtvis får inte saltningen och hashningen vara känd...
Det man kan göra är att inte ha samma lösenord på flera olika ställen,
B)
Idag kom mailet jag väntat på. I samband med Adobe hacket kontaktade jag Swedbank och frågade hur de tänkte hantera mitt kort som förmodligen var bland de hackade.
Swedbank kände vid detta tillfälle inte till det hela med kundmottagaren kontaktade säkerhetsavdelningen som gärna villa jag skickade ytterligare information. Vilket jag givetvis gjorde.
Någon vecka senare kom ett nytt kort till mig och säkert många andra.
Sedan dess har jag undrat hur Adobe kunnat debitera mig för och skicka kvitto på månadsbetalningen.
Idag kom mailet. Mitt kreditkort fungerar inte för nästa betalning. Nu vill de jag skall lägga in mitt nya kort förstås. Känns så där lagom kul.
Förmodligen har redan Adobe vidtagit åtgärder för att skärpa säkerheten. Eller kanske har de inte hunnit. NI är nog många fler som har fått eller kommer få likadana mail att ta ställning till.
Åtgärd krävs: Ditt Adobe Creative Cloud-medlemskap har upphävts
Hej Mats,
Ditt Creative Cloud-medlemskap kommer att ändras till ett kostnadsfritt medlemskap vid slutet av nästa faktureringsperiod eftersom vi inte kunde debitera det kreditkort som du har registrerat hos oss. Uppdatera betalningsinformationen om du vill återgå till ett betalt medlemskap.
Uppdatera din betalningsinformation ›
Med ett kostnadsfritt medlemskap får du tillgång till kraftfulla filsynkroniserings- och fildelningsfunktioner, 2 GB lagringsutrymme, kostnadsfria Adobe-tjänster och åtkomst till 30 dagars kostnadsfria utvärderingar av alla CC-program och andra Adobe-skrivbordsprogram, t.ex. Adobe Edge Animate och Adobe Muse.
Beroende på storleken på och antalet filer i ditt konto kanske du måste ta bort filer för att minska lagringsutrymmet så att din kvot inte överskrids. Om storleken på din kvot i Creative Cloud överskrids i mer än 90 dagar kan du förlora åtkomsten till vissa eller alla filer.
Kontakta vår kundsupport om du har frågor eller behöver hjälp.
Mycket nöje!
Adobe Creative Cloud-teamet
Däremot har ju flera av de Password Managers som finns möjligheten att slumpa fram lösenord, då kan det bli lösenord som verkar omöjliga att någon annan skulle ha valt. Chansen är fortfarande mycket liten att något program skulle ha slumpat fram samma lösenord som just du valt, om det är ett långt och komplicerat lösenord - men chansen att *någons* långa lösenord slumpats fram är ju rätt mycket större.
Lite grann som Födelsedagsparadoxen. Om man är ett sällskap slumpvist utvalda personer, hur många måste det vara i sällskapet för att chansen ska vara större än 50% att två personer i sällskapet har födelsedag samma månad och dag? En del svarar 183 personer, en del 50, 60 eller 100. Men det är bara 23 personer som behövs i sällskapet för att chansen att två ska ha födelsedag samma dag ska vara större än 50%. Så bland 150 miljoner lösenord är förstås chansen mycket stor att även komplicerade lösenord ska upprepas. Inte att just *ditt* lösenord ska vara dubblerat, men att *några* komplicerade lösenord ska vara dubblerade. Och det är ju dessa lösenords ägare som skriver om det underliga att deras långa lösenord uppges användas av någon mer person...
Lite störande tycker jag det däremot är att man kan ändra sitt Adobe-lösenord utan att vare sig känna till sitt gamla lösenord eller någon lösenordshint. Det räcker med att hacka sig in på någons mailkonto, begära reset av lösenordet för motsvarande Adobe-konto (det är ju inte precis en styrka att kontonamn=emailkonto...), klicka på länken i det mail man får och ändra lösenordet för att till sist ta bort de två mail man fått från Adobe innan man loggar ut från det hackade mailkontot...
Är lösenordet decrypterbar och dom också snott algoritmen så går det i ett huj att decryptera det hela. Annars kan det kanske ta ett par dagar att knäcka algoritmen om dom har ett par kända lösenord.
Det låter på dig som att det i stort sett inte finns någon säkerhet alls i att hålla krypteringsnycklar hemliga längre... Jag menar inte att du säger att det är helt osäkert, men om man kan dekryptera i ett huj med hjälp av några okrypterade lösen (s.k. known-plaintext attack, där man först klurar ut krypteringsnyckeln sen är fältet fritt) så låter det som att krypteringsnyckeln inte var så värst säker till att börja med och säkerheten mest låg i att algoritmen hölls hemlig. Är det det du menar?
Dagens hackare har dock oftast tillgång till nätverk med hackade datorer som ger riktigt bra med beräkningskraft och knäcker i dagsläget det mesta relativt snabbt även utan algoritmen.
Androidpryttlar börjar bli ganska vanliga i dessa nätverk, en Androidpryl behöver rätt mycket tid på sig att knäcka dom flesta algoritmer men 10milj Androidprylar tillsammans blir förbaskat kraftfulla. Tänk på det nästa gång telefonen börjar få taskig batteritid.
Bäst är dock att se till att ingen får tag i databasen, för så länge man måste gå genom hemsidan så får man anta att Adobe byggt in någon fördröjning efter ett tag, dvs efter 3 försök kan man bara försöka en gång i minuten efter det eller liknande. Har du databasen kan du göra miljontals försök i sekunden.
Att Adobe haft svårt för att skydda sig mot ett välplanerat brott och brustit i säkerhet gör det inte mer ärligt att stjäla deras programvara.
Någon rationell logisk mangling klarar inte påståendet.
Men det känns skönt.
Detta under förutsättningen att det är dåligt att få sitt konto hackat förstås.
Annars finns det gratis alternativ som fixar det mesta också, så slipper man vara kriminell och begå upphovsrättligt brottsliga handlingar.
Frågan är varför dem lagrar kreditkortsnummer / utgångsdatum i systemet när jag inte köper något som kräver prenumeration.
Idag fick jag mail från Evernote som jag använder som meddelade att de gått igenom listan forn Adobe3 hacket som ligger ute på nätet nu.
Där hade bland annat min mailadress identifierats.
Så de påminde mig om att jag bör byta lösenord om jag händelsevis råkade använda samma där.
Hade redan dagarna efter Adobe hacket bytt på alla adresser som jag tyckte var känsliga.
Skaffade 1Password för att kunna ha slumpvisa och långa lösenord på alla konton.
Jag får nog vara beredd på att det snart hackas någon annan stor site där mina uppgifter finns.
Det finns säkert mängder av webhandlare som inte har den säkerhet som vi skulle önska.
Attacken mot Adobe var tydligen mycket avancerad med ddos överbelastningsattack samtidigt som de hackade sig in.
Vi får hoppas att de stora aktörerna tar till de bästa experterna för att göra vad de kan för att ha högsta säkerhet som modern teknik kan erbjuda.
Tyvärr har väl skurkarna tillgång till lika skarpa hjärnor som letar svagheter för att trots allt hacka sig in.
Detta är ju idag en mångmiljardindustri