[wykop]

Wykopowicze,

przede wszystkim należą Wam się przeprosiny, że tak długo musieliście czekać na wyjaśnienie. W pierwszej kolejności skupiliśmy się na ustaleniu przyczyny problemu, a gdy ten był nam już znany, priorytetem stało się zabezpieczenie przejętych kont.

Podkreślić należy jednak, że nie doszło do wycieku bazy danych Wykopu. Atak na konta Wykopowiczów przeprowadzony był metodą brute force i dotyczył jedynie kont, które zabezpieczone były banalnie prostymi hasłami. Atak przeprowadzono w sposób, który nie powodował zauważalnego skoku w obciążeniu, co poniekąd niestety uśpiło naszą czujność.

Jak zauważyliście, przejęte konta zostały przez nas zbanowane, aż nie uzyskamy pewności, że dostęp do nich mają jedynie ich właściciele. Na kontach tych wymuszone zostanie również zresetowanie hasła do konta. Dodatkowo wprowadziliśmy captche, której wpisanie będzie konieczne przy błędnym podaniu hasła do konta. Rozważamy również wprowadzenie logowania nie za pomocą loginu, a za pomocą adresu mailowego i hasła. Metoda ta skutecznie utrudni podobne ataki, ale wymagać będzie to znajomości adresu mailowego przypisanego do swojego konta - a wiemy, że nie wszyscy o nich pamiętają :-)

Chcemy jednak przypomnieć, że nawet najlepsze metody nic nie dadzą, jeśli sami nie zadbacie o odpowiednią ochronę własnego konta. W tej aferze, konta, do których dostęp został przejęty, miały bardzo proste hasła, wręcz banalnie proste. Jeśli ktoś jeszcze ma ustawione jedno z popularniejszych haseł lub stosuje hasła podobne do nazw loginu - prosimy, zmieńcie je na trudniejsze. I koniecznie przejrzyjcie swoje aplikacje, by upewnić się, że nie ma wśród nich aplikacji niezaufanych - możecie to zrobić w ustawieniach profilu.

Atak przeprowadzony na konta użytkowników serwisu Wykop.pl zostanie zgłoszony odpowiednim organom.

#aferabotowa #wykop #oswiadczenie

[smaky78]

Także żeby mi to było ostatni raz.

[MasterSoundBlaster]

@Shoot3r:
Myślałem, ze to @DOgi xD

[Paczek_w_masle]

Czemu nie wdrożyć też wymuszenia odczekania np. godziny do następnej próby po 5 nieudanych próbach?

@JakisTakiNick wystarczy 5 minut. Problem w tym, że API umożliwia kilka tysięcy strzałów na sekundę. 5 minut zmniejsza to do 0.00833333333 strzału na sekundę. W ten sposób sprawdzenie wszystkich mozliwości hasła z jednym znakiem (alfabet + cyfry czyli 36 opcji) daje czas 72 minuty. Liczone na skróty, ale główny zamysł jest taki żeby ograniczyć bardzo szybkie

[hacerking]

Przeglądasz komentarze i umierasz z nudy?
A może chciałbyś, aby twoje życie nabrało sensu?
Pomóc ci?

Jeśli o to prosisz, to wystarczy, że wejdziesz w mój unikalny tag, który zapewni ci tysiące godzin śmiechu, wzruszeń, gęsiej skórki oraz klimatu...
Chcesz go poznać? Czy jesteś tego całkowicie pewien??

[se22]

Co jest zepsute w tcych tagach?

[ufoludek-zkosmosu]

@wykop Jeśli ktoś zakładał konto na 10 minutowym e-mailu a wy mu teraz daliście perma to jak ma odzyskać konto?

[u.....8]

Chcemy jednak przypomnieć, że nawet najlepsze metody nic nie dadzą, jeśli sami nie zadbacie o odpowiednią ochronę własnego konta. W tej aferze, konta, do których dostęp został przejęty, miały bardzo proste hasła, wręcz banalnie proste. Jeśli ktoś jeszcze ma ustawione jedno z popularniejszych haseł lub stosuje hasła podobne do nazw loginu - prosimy, zmieńcie je na trudniejsze. I koniecznie przejrzyjcie swoje aplikacje, by upewnić się, że nie ma wśród nich aplikacji niezaufanych

[techninja]

@wykop:
1. Co z HTTPS?
2. Co z ochroną przed brute-force (ograniczenie prób logowania na dane konto w czasie)
3. Dlaczego nie reCAPTCHA?
4. Dlaczego nie sprawdzać jakości haseł innych userów (porównywać hashe haseł z hashami popularnych haseł + wymuszenie złożoności hasła)?

[B.....x]

@Demobil: n----------e mozgowe to jest dac haslo 123456

[m.....o]

@wykop: A może by tak wymusić silne hasła, jak to jest np. w windowsowym Active Directory?

[j.....d]

@wykop: DROGI WYKOPIE CZY MAM SIĘ MARTWIĆ O SWOJE KONTO? NIE MOGĘ SPAĆ ZE STRESU

[StachuChmura]

@m__b fakaj bobla

[m.....o]

@Demobil: powinni otagowac #oswiadczeniezdupy

(⌐ ͡■ ͜ʖ ͡■)

[jaywalker]

@wykop: no dobrze, a czy w końcu ktoś od was może się ustosunkować do tego jakim cudem z mojego konta zostały wykopane znaleziska mimo tego, iż konto nie zostało przejęte?

[Thexil]

@wykop: https dajcie

[Outline]

Naprawcie tagi

@Lookazz: czysto z ciekawości, a co z nimi nie tak? Podrzuć link do wyjaśnienia, albo sam napisz. Odpowiedź: nie działają, mnie nie satysfakcjonuje.

Za każdym razem widzę, powtarzane to hasełko, ale nikt nie wyjaśni co w nich jest z-----e :-)

[jaywalker]

@Thexil: jakie https. xD W tamtym roku białkov dawał zapowiedź, że niby będzie. A to znaczy, że kilka lat upłynie zanim cokolwiek z tym zrobi. Od nie wiem ilu lat biadolą o tagach a oni dalej nie są w stanie tego naprawić. Ja nie wiem, czy w końcu ten k--------k trzeba zgłosić bezpośrednio do kogoś z Cinven, Permira lub Mid Europa żeby naprawić tak oczywiste błędy?

@Outline: no

[MasterSoundBlaster]

@wykop:

Rozumiemy, że nie pasuje ona do Twojego światopoglądu, dlatego trudniej jest Ci się z nią pogodzić.

Ale po arogancku. Ja wiem, że użytkownik może być męczący, ale serio w taki sposób odpowiadać? ( ͡° ʖ̯ ͡°)

[MasterSoundBlaster]

@Oskarek89:

@wykop: chce kupić wykop i go naprawić, jaka cena?

ZRÓB TO

[ArekJ]

3) Rejestr logowań który można o kant d--y potłuc. Piszą o tym od paru dni użytkownicy, pisał niebezpiecznik. Ludzie nie byli w stanie (i nadal nie są) sprawdzić, czy ich konto jest obiektem ataku, bo pokazuje tylko aktywne sesje.

@Sobak: Nawet aktywnych sesji nie musi pokazywać.
Tu to testowałem: http://www.wykop.pl/wpis/23618119/w-zwiazku-z-afera-przyjrzalem-sie-troche-jak-dzial/