Uwaga, wykradzione hashe głównych haseł LastPassa
![Uwaga, wykradzione hashe głównych haseł LastPassa](https://wykop.pl/cdn/c3397993/link_Ivk61xjHzp6PxlLCcPssmX5XyNNrXFZe,w300h194.jpg)
Mamy przykrą wiadomość dla użytkowników popularnego managera haseł LastPass. Właśnie ogłoszono, że nieznany sprawca wykradł hashe głównych haseł użytkowników raz z ich solami. Dodatkowo w ręce złodzieja trafiły adresy email użytkowników.
- #
- #
- #
- #
- #
- 166
- Odpowiedz
Komentarze (166)
najlepsze
Używaj wyłącznie haseł w postaci ciągów losowych znaków. Muszą być losowe, tzn ruszasz myszką żeby wygenerować "losowość". Albo w jakiś inny sposób losowość jest uzyskiwana, ale nie za pomocą generatora liczb pseudolosowych, bo ciągi pseudolosowe nie są losowe i dają się odtworzyć.
Hasło musi mieć przynajmniej 14 znaków z zakresu litery małe i wielkie, cyfry i znaki specjalne.
Nie
To jest akurat dobra metoda. Wielokrotne hashowanie jest nawet polecane przez hackerów jako w miarę "na czasie". Nie wiem jak jest z podatnością na wykradzenie kodu źródłowego.
Może nic nie dać, bo jeśli nawet masz algo hashujące, ale hashowanie hasła trwa powiedzmy sekundę, to nigdy tego bruteforcem nie zgadniesz. A sekunda to jest całkiem rozsądny lag dla takich rzeczy. Inna sprawa, że to może przymulić kompa, trzeba to też zabezpieczać przed DDOS-em specjalnie. Do tego jak ma się skalować, to nie ma mowy o sekundzie na 1 procesie, powiedzmy 100ms góra, sekunda będzie w sam raz jak 10 userów będzie się logowało dokładnie w tej samej chwili. Oczywiście proporcje zależą od specyficznego obciążenia ruchem apki (rzędu wielkości).
Dlatego absolutnie nie powinno się używać md5 do haseł. Co nie znaczy, że algorytm jest zły - on jest wprost rewelacyjny, tylko do zupełnie innych zastosowań. Ja używam go w zastosowaniu, które ma w nazwie - jako "funkcję skrótu". Wrzucam tysiące rekordów do bazy i chcę sobie maksymalnie szybko sprawdzić, czy już takiego rekordu nie wrzuciłem. Z przyczyn niezależnych dane, które wchodzą nie mają żadnych identyfikatorów czy wyróżników. To robię po n-polach rekordu hasha md5, i sprawdzam sobie w bazie czy taki hash już jest. Dlatego jest to lepsze od sprawdzania pól, bo rekord z którego robię hasha jest jeden, a rekordów z którymi porównuje może być ponad 100k (w zależności od ruchu). W tym przypadku szybkość jest największą zaletą md5. Wadą jest podatność na kolizje, ale przy moim zastosowaniu jest wystarczająco mała, przez jakieś 3 lata działania systemu miałem tylko 1 kolizję. Przy czym oczywiście nie miała żadnego znaczenia, bo nie było to w części krytycznej dotyczącej
Zapewne parę Chińczyków co tak robią by się znalazło ( ͡° ͜ʖ ͡°)
A myślisz, że DropBoxa się nie da zhaczyć? ;) Wszystko się da.
Nawet jak jej go nie podawales to ona i tak Ci je przypomni.