LinkedIn-læk er mindst 7 måneder gammel

Sikkerhedsekspert afslører, at LinkedIns sikkerhedshul er gammelt. på trods af at det kun har være kendt i under en uge.

LinkedIns sikkerhedshul er mindst syv til otte måneder gammelt. Det skriver sikkerhedseksperten Peter Kruse fra Csis på Twitter.

Læs også: LinkedIn-hack udstiller svagheden i prædefinerede sikkerhedskoder

Han har testet et at sine gamle kodeord for at se, om det er blandt de 6,5 millioner kodeord, som forleden blev gjort offentligt tilgængelige på nettet. Det viser sig, at det omkring otte måneder gamle kodeord er hacket, og Peter Kruses konklusion er derfor, at hackere gennem længere tid har kunnet mæske sig i LinkedIn-brugeres koder.

Hacket blev dog først kendt onsdag den 6. juni efter at LinkedIn bekræftede, at en russisk hacker havde gjort millioner af kodeord frit tilgængelige på nettet.

LinkedIn anbefaler alle brugere at skifte kodeord med det samme. Når du har skiftet kodeordet, kan du bagefter tjekke, om dit gamle kodeord var blandt de hackede.

Læs også: Er din LinkedIn-konto blevet hacket? Tjek dit password her

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (7)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Finn Aarup Nielsen

"Nu kunne det vel også tænkes, at der blandt de 6,5 millioner LinkedIn-konti, der er eksponeret, var andre der havde valgt det samme kodeord, som Hr. Kruse anvendte for 8 måneder siden..."

Mon dog? Du mener ikke at en sikkerhedsekspert vælger et kodeord der et tiltrækkeligt unikt?

BTW: Peter Kruse har lige gjort opmærksom på CVE 2012-2122. MySQL uha. (Stopper det aldrig? :-( )

  • 4
  • 1
Henrik Brix Andersen

Du mener ikke at en sikkerhedsekspert vælger et kodeord der et tiltrækkeligt unikt?

Jeg udtaler mig ikke om en af dette lands mange eksperters evne til at vælge et "unikt" password.

Jeg påpeger blot, at grundlaget for Hr. Kruses tweet virker yderst spinkelt - hvilket igen gør det journalistiske grundlag for at ophøje hans udtalelse til fakta yderst spinkelt.

--
Brix
Kommentarekspert

  • 3
  • 1
Finn Aarup Nielsen

Nu kan jeg bekræftige monsterhullet i MySQL (CVE 2012-2122).

Jeg kunne ikke umiddelbart få exploiten til at virke på mit system, men efter at have læst hvad der faktisk bliver skrevet så kan jeg se at for eksempel Ubuntu 32-bit ikke er ramt, mens 64-bit Ubuntu er, - og det er hvad jeg kan reproducere.

$ for i in seq 1 1000; do mysql -u root --password=bad -h 127.0.0.1 2>/dev/null; done

https://community.rapid7.com/community/metasploit/blog/2012/06/11/cve-20...

  • 0
  • 0
Lars Balker

Nu er jeg slet ikke Kruse-ekspert, men mon ikke han først testede sit nye password, som ikke var i listen, hvorefter han prøvede et ældre?

Og desuden, det er ikke "6,5 millioner konti" - det er unikke password-hashes, så det er langt flere kontoer.

  • 1
  • 1
Johnnie Hougaard Nielsen

Det kan tænkes at Linkedin betjener sig af en datastruktur, som ikke fjerner gamle data ved opdatering til en ny værdi. Det kan der være mange driftsmæssige grunde til. I så fald siger tilstedeværelsen af et gammelt password intet om hvor længe hullet har været åbent.

På den anden side lever huller jo ofte et langvarigt liv i det skjulte, indtil de udnyttes i større skala.

  • 1
  • 1
Log ind eller Opret konto for at kommentere