LinkedIn sagsøgt efter kodeords-læk
En vred LinkedIn-bruger vil nu sagsøge LinkedIn, efter at det sociale netværk fik lækket 6 millioner kodeord. Det skriver ZDnet.
Læs også: LinkedIn: SKIFT PASSWORD!
Katie Szpyrka har været bruger af LinkedIn siden 2010 og mener, at virksomheden ikke lever op til branchens sikkerhedsstandarder. Derfor søger hun nu om at få godkendt et kollektivt søgsmål.
Anklagen går på, at LinkedIn brugte en svag kryptering, der gjorde det lettere for hackere at bryde den, og at LinkedIn først offentliggjorde lækagen efter at tredjeparter gjorde opmærksom på problemet. Det er ifølge anklagen ikke den optimale måde at håndtere brugernes data på.
Derudover har LinkedIn ikke saltet kodeordene, hvilket betyder at man tilfører de krypterede kodeord tilfældige tegn, som gør krypteringen stærkere. Noget LinkedIn er begyndt at gøre efterfølgende.
Kommentarer (5)
Så mangler der vel bare, at man skynder sig at slette sin profil - husk, hvis du ikke betaler for en service så er du en del af produktet !!
-
3 -
1
"Anklagen går på, at LinkedIn brugte en svag kryptering, "
Ingen tvivl om at det kunne være mindre optimalt, men er sagsøger nu også sikker på at hun (og IT-verdenen i det hele taget) ønsker en dom med præcedens for hvilke tekniske løsninger der kan laves uden at risikere sagsanlæg?
Der er massere af systemer rundt omkring med betydelig bedre sikkerhed end LinkedIn, som opbevarer passwords i klartekst. Det er simpelthen et teknisk krav, hvis man ønsker at lave anden authentikering end med plaintext passwords. En dom, der udelukkende tager stilling som om "krypteringen" svar svag er meningsløs.
-
1
-
0
Det var ikke krypteret, men hashed. Det er ikke det samme :)
Her er lidt om det:
http://blog.akaconsult.dk/post/2012/06/13/Password-hashing-101-(Don180;t-forget-the-salt).aspx
-
0
-
0
Burde man ikke overveje et alternativ til simple(hurtigt beregnelige) hash-funktioner og bruge mere egnede teknikker?
Som de så fint siger: 'use bcrypt': http://codahale.com/how-to-safely-store-a-password/
(som alternativ til 'bcrypt' kan man overveje 'scrypt')
-
2
-
0
LinkedIn gemte ikke passwords forsvarligt, da der eksisterer bedre teknikker der ikke "koster" ekstra. Meget længere er den vel ikke.
Havde de faktisk haft brug for plaintext ville det selvfølgelig ikke påvirke dem at de gjorde.. men så må man nok også forvente at beskyttelsen er det bedre. F.eks. med isolering af services osv.
-
0
-
0
Tilføj kommentar
