Tietomurtoaaltokeskustelu

[heppikepo]

En usko että tuo lista on kovinkaan luotettava, sillä sieltä löytyi Gdrgdf-niminen henkilö.
Eikä väestörekisterin nimihakukaan tuottanut tulosta.

Jos tuo on automaaginen tietokanta niin kai siellä voi olla mitä vain aitojen joukossa. on esimerkiksi herra Testi Luottokunta

[Kain]

http://www.mikropc.net/kaikki_uutiset/b ... de/a717492

[ER]

Tämän lienee jokainen huomannut uutisista, mutta en huomaa mitään keskustelua aihepiiristä Hompussa.

http://www.cert.fi/tietoturvanyt/2011/1 ... 61539.html

Ja kun reissusta netin ääreen palattuani tarkistin, niin siellähän ne omatkin tietoni ovat. Perkl. Vaikea arvata mistä tietoni olisivat peräisin. Verkossa puhutaan mm. joidenkin itä-suomalaisten oppilaitosten yliedustuksesta ja joistakin muista oppilaitoksista. Minkään mainitun kanssa en ole ollut missään tekemisissä. Toisaalta oman oppilaitokseni ihmisiä tuolla näyttää olevan niin vähän, että sieltä tuskin on peräisin. Kaipa se epäilty monta lähdettä pitää paikkansa. Joku epäili, että monella tuntemallaan listalla olevalla henkilöllä olisi melko vasta ollut jokin autokauppa tai -rekisteröinti. Näin itsellänikin, mutta en tiedä liittyykö siihen.

Mutta vaikka en pelkää juurikaan todellisia ongelmia asian suhteen, niin periaatteesta ketuttaa ihan tosissaan. Päitä vadille, prkl! Muron puolella joku väitti, että tuollaisia salaamattomia listoja lähetellään sähköpostilla mm. joidenkin aikuiskoulutushommien puitteissa. Ei hemmetti kukaan saa olla niin idiootti tehtävässä jossa pääsee käsiksi tuollaisiin tietoihin. Toivottavasti tämä vuoto saa Suomessa aikaan jotakin todellista parannusta asioihin.

HUOM! Jos ja kun selvittelette löytyykö omia tietojanne, niin älkää nyt alkako ilmoittelemaan tärkeitä tietoja itse millekään epämääräiselle sivulle. Esimerkiksi Afterdawnin sivuilta voi hakea vaikka pelkällä sukunimellä ilmoittamatta muita tietojaan.

http://fin.afterdawn.com/vuoto.cfm

[iPadi]

Miten tarkistan että onko omat tietoni siellä? Tosin en ole niitä laittanut nettiin, mutta entäs jos rosvo on murtautunut meille, ja ottanut ne passistani

[ER]

Miten tarkistan että onko omat tietoni siellä? Tosin en ole niitä laittanut nettiin, mutta entäs jos rosvo on murtautunut meille, ja ottanut ne passistani

Lue vaikka ekaksi tuo yllä oleva kirjoitukseni. Ajatuksella.

[iPadi]

Miten tarkistan että onko omat tietoni siellä? Tosin en ole niitä laittanut nettiin, mutta entäs jos rosvo on murtautunut meille, ja ottanut ne passistani

Lue vaikka ekaksi tuo yllä oleva kirjoitukseni. Ajatuksella.

Ai. Joo. Niin. Ei löytynyt.

[M.P.T]

Hyvä, että saatiin oma topic tästä aiheesta. Otsikonkin voisi muuttaa tulevaisuudessa, että asiasta voisi keskustella lisää jatkossakin. Tämä tuskin jää ainoaksi ja mietinkin, että milloin terveystiedot vuotaa jakoon. Siinä työnantaja voikin antaa lopputilia siitä, että huomaa Pentin saaneen viagraa ja Ernestin verenpainelääkkeitä. Tässä meneekin asia suoraan asiattomuuksiin, koska työnantajalle ei todellakaan kuulu mitä lääkettä saan ja olenko sairaslomalla keuhkokuumeen tai P.Eenismurtuman takia.

Olen edelleen sitä mieltä, että pitäisi alkaa keräämään kolehtia tälläisten etsimiseksi. Hakkeriryhmälle xx€ lahjoituksia siitä, että syyllinen saadaan kiinni. En kannata kuolemantuomiota mistään rikoksesta, mutta tälläisissä tilanteissa oikea tuomio olisi jalkapuu päiväksi ja jokaiselle ihmiselle annettaisiin lupa virtsata niskaan.

[L_A_G]

Täältä ainakin voi tarkistaa että ovako omat tiedot joutuneet vääriin käsiin ja ainakin omassa tapauksessa, tiedot näyttävät olevan turvassa (ainakin tällä hetkellä).

[tosikko]

Uutta listaa pukkaa, mutta nyt vain 500 000 suomalaisen email osoitteet. Väitteiden mukaan salasanat julkaistaisiin myöhemmin, osa jo saatu selvitettyä.

http://www.mikropc.net/kaikki_uutiset/o ... ot/a721402

[richidi]

Joojoo. Tässähän näitä on tämmösiä http://pastebin.com/FExpcnXD

[Jamac]

Uutta listaa pukkaa, mutta nyt vain 500 000 suomalaisen email osoitteet. Väitteiden mukaan salasanat julkaistaisiin myöhemmin, osa jo saatu selvitettyä.

http://www.mikropc.net/kaikki_uutiset/o ... ot/a721402

Joo, ei kannata olla netissä, en määkään ole.

[tosikko]

"Salasanat suolattu heikosti", sanoo Anonyymoussi nimimerkki. Nyt ei hyvältä näytä.

http://www.mtv3.fi/uutiset/it.shtml/201 ... a-murrettu

[M.P.T]

Minua ärsyttää tuollainen, että mikään ei ole enää pyhää. Miksei samantien pojat mene lukemaan posteja postiin? Se on vielä helpompaa kuin kavereiden sähköpostiosoitteisiin murtautuminen (Olen Ex-postimies). Kirjesalaisuuden rikkomisesta vaadin naamat lehteen osoitteineen. On ilkeää vaihtaa joka kuukausi salasanaa, koska muistini menee muutenkin koville. Miksi? Kysyn Miksi näin tehdään?

Haaste noille vuodon tuottaville pojille.
Olisi hauskaa nähdä millaisia jannuja nämä murtautujat ovat. Kerta pystyvät murtamaan salasanoja niin voisin antaa pojille haasteellisemman tehtävän. Maksan jätkille 50€ jos ne toimittavat minulle mitä tahansa kaalimato (tai vastaava) kaupasta ja tuovat sen kuistilla olevalle pöydälleni. Ette pysty 8) Osoitteeni selvittää helposti. Maksan saman myös, jos toimitatte salasanalistat autooni tilinumeron kera (jotta voin maksaa sen 50€). Annan rahan lisäksi julkisen anteeksipyynnön teidän moittimisesta.

[tosikko]

Uutta listaa pukkaa, mutta nyt vain 500 000 suomalaisen email osoitteet. Väitteiden mukaan salasanat julkaistaisiin myöhemmin, osa jo saatu selvitettyä.

http://www.mikropc.net/kaikki_uutiset/o ... ot/a721402

Non ni, osa salasanoista on jo pastebinissä, loput lupaillaan myöhemmin.

Epäilevät Tuomaat ovat esittäneet väitteitä siitä, ettei mitään salasanoja olisi olemassakaan.

Tässä esitetyt A, N ja O-alkuiset salasanat tuskin lopettavat näitä spekulaatioita, varsinkaan kun en yhdistä niitä sähköposteihin ja käyttäjätunnuksiin. Asioista perillä olevat tahot voivat kuitenkin varmistaa etteivät nämä ole aiemmin vuodettuja salasanoja, ja ettei listaa ole generoitu satunnaisesti.

Täydellinen salasanalista (yhdistettynä käyttäjätunnuksiin ja sähköpostiosoitteisiin) tullaan julkaisemaan siinä vaiheessa kun koko hashilista on ajettu työkalujen läpi.

[tosikko]

Ja sama homma jatkuu, pastebinissä on 12000 käyttäjätunnusta, salasanaa ja email osoitetta netcar.fi -palvelusta.

http://www.hs.fi/kotimaa/Uusi+tietovuot ... 5549481205

[usagi]

Saa****n Tunarit!

[Machist]

Tais olla vedätystä se edellinen vuoto osittain?
Ne sähköpostit oli vetästy jostain ja salasanat oli niitämyleisimpiä käytettyjä.

[eskofot]

Tietoturvaviranomaisten mukaan jo neljäs palvelu on joutunut tietomurron kohteeksi, jossa on onnistuttu vohkimaan paitsi käyttötunnukset, niin salasanat. Viimeksi vietiin NetCarin ja Helistin.fi:n tiedot ja julkaistiin netissä.

Tosiaalta aiemmista tietomurroista osa on osoittatutunut pelkäksi pelotteluksi. On kaivettu julkisista lähteistä sähköpostiosoitteita ja rinnalla on julkaista kirjava kokoelma "salasanoja".

Kuinka voi olla mahdollista että foorumisofta antaa tallentaa salasanat niin, että ne on yhdistetävissä käyttäjätunnuksiin? Vai ovatko nämä murretut foorumit jotain omia viritelmiä? Vai onko vuodoissa ylipäätään edes kyse siitä että nämä vahingossa suojaamattomiksi jääneet tiedot olisi pystytty yhdistämään toisiinsa?

[gramdel]

Kuinka voi olla mahdollista että foorumisofta antaa tallentaa salasanat niin, että ne on yhdistetävissä käyttäjätunnuksiin? Vai ovatko nämä murretut foorumit jotain omia viritelmiä? Vai onko vuodoissa ylipäätään edes kyse siitä että nämä vahingossa suojaamattomiksi jääneet tiedot olisi pystytty yhdistämään toisiinsa?

Kyllähän salasanan pitää olla yhdistettävissä käyttäjätunnukseen, eipä muuten esim. sisään kirjautuminen onnistuisi Turvaongelmat ovat muualla, sql injektioita ei ole estetty, salasanat on heikosti suolattu (tai ei lainkaan).

[MacFinn]

Kuinka voi olla mahdollista että foorumisofta antaa tallentaa salasanat niin, että ne on yhdistetävissä käyttäjätunnuksiin? Vai ovatko nämä murretut foorumit jotain omia viritelmiä? Vai onko vuodoissa ylipäätään edes kyse siitä että nämä vahingossa suojaamattomiksi jääneet tiedot olisi pystytty yhdistämään toisiinsa?

Kyllähän salasanan pitää olla yhdistettävissä käyttäjätunnukseen, eipä muuten esim. sisään kirjautuminen onnistuisi Turvaongelmat ovat muualla, sql injektioita ei ole estetty, salasanat on heikosti suolattu (tai ei lainkaan).

Ja aika yleistä näyttää olevan se, että ajetaan jotain keskustelupalstaa liki kymmen vuotta vanhalla softaversiolla... esim. tuo helistin.fi vuoden 2002 versiolla.

Mikä muuten on Hompun versio?

[eskofot]

Kuinka voi olla mahdollista että foorumisofta antaa tallentaa salasanat niin, että ne on yhdistetävissä käyttäjätunnuksiin? Vai ovatko nämä murretut foorumit jotain omia viritelmiä? Vai onko vuodoissa ylipäätään edes kyse siitä että nämä vahingossa suojaamattomiksi jääneet tiedot olisi pystytty yhdistämään toisiinsa?

Kyllähän salasanan pitää olla yhdistettävissä käyttäjätunnukseen, eipä muuten esim. sisään kirjautuminen onnistuisi Turvaongelmat ovat muualla, sql injektioita ei ole estetty, salasanat on heikosti suolattu (tai ei lainkaan).

Näin tietysti, mutat olen ollut siinä käsityksessä että foorumisoftat tallentavat ne aivan eri tiedostoihin ja että edes ylläpitäjä ei saa selville käyttäjän salasanaa. Eli että vaikka olisi vuoden 2000 foorumisofta, ja joku onnistyy murtautumaan tietokantaan, saa haltuunsa vain serin salasanoja ja setin käyttäjätunnuksia, ei niiden välistä vastaavutta. Olenko väärässä?

Ilmeisesti:
http://www.iltalehti.fi/digi/2011112814835065_du.shtml

[gramdel]

Näin tietysti, mutat olen ollut siinä käsityksessä että foorumisoftat tallentavat ne aivan eri tiedostoihin ja että edes ylläpitäjä ei saa selville käyttäjän salasanaa. Eli että vaikka olisi vuoden 2000 foorumisofta, ja joku onnistyy murtautumaan tietokantaan, saa haltuunsa vain serin salasanoja ja setin käyttäjätunnuksia, ei niiden välistä vastaavutta. Olenko väärässä?

Olet sikäli väärässä, että kyllähän tietokannassa on pakko olla jokin linkki salasanan ja käyttäjätunnuksen välillä. Ja se on sieltä ihan ihmissilminkin kaivettavissa esille.

Salasanat on toki kryptattu (yleensä), mutta jos suolaus (salt) on huono tai puuttuu kokonaan, niin md5 koodattu salasana kyllä murtuu. Se, ettei ylläpitäjäkään saa salasanaa selville johtuu juuri tuosta kryptauksesta, vaikka se periaatteessa olisikin murrettavissa kun ylläpitäjällä on saltit tiedossa jne.

[eskofot]

Olet sikäli väärässä, että kyllähän tietokannassa on pakko olla jokin linkki salasanan ja käyttäjätunnuksen välillä. Ja se on sieltä ihan ihmissilminkin kaivettavissa esille.

Ymmärrän, mutta luulisi linkin olevan ylätason palvelu, joka vain vertaa loggausta salasanaan, miksi sen linkin tulisi olla jotenkin näkyvä siellä, missä salasanat ovat, kuulostaa hieman alkeelliselta.

Salasanat on toki kryptattu (yleensä), mutta jos suolaus (salt) on huono tai puuttuu kokonaan, niin md5 koodattu salasana kyllä murtuu. Se, ettei ylläpitäjäkään saa salasanaa selville johtuu juuri tuosta kryptauksesta, vaikka se periaatteessa olisikin murrettavissa kun ylläpitäjällä on saltit tiedossa jne.

Ok, missä vaiheessa nämä salaukset sitten tulivat foorumisoftiin? Näitähän alkoi tulla markknoille vasta 90-luvun lopussa. 2000-luvun alussa?

[gramdel]

Ymmärrän, mutta luulisi linkin olevan ylätason palvelu, joka vain vertaa loggausta salasanaan, miksi sen linkin tulisi olla jotenkin näkyvä siellä, missä salasanat ovat, kuulostaa hieman alkeelliselta.

Monissahan foorumisoftissa salasanat ja käyttäjätunnukset ovat samassa taulussa. Esim phpbb:

user_id user_permissions user_perm_from ... user_regdate username ...user_password jne.

Jos salasanat olisivat eri taulussa pitäisi käytännössä näiden kahden taulun välille tehdä jo datan integriteetinkin takia esim. foreign key linkitys eli password taulussa olisi

id user_id password ja tuo user_id on siis sama kuin user taulun user_id. Näin on toimittava, kyllä sen "ylätason palvelunkin" pitää tietää mistä sitä salasanaa etsitään. Mutta tämä tosiaan ei ole se tietoturvaongelma, vaan salasanojen huono kryptaus.

[eskofot]

Mutta tämä tosiaan ei ole se tietoturvaongelma, vaan salasanojen huono kryptaus.

Minusta oheinen Florida State Universityn testi tukee kantaani siitä, että yhdistäminen ei oikein onnistu. Tässä hyökätään ankarasti ja vain neljännes salasanoista saadaan murrettua, tekniikkana dynaaminen arvaaja. Eli salasana saadaan selville kokeilemalla. Näinkö tää menee?
http://www.defcon.org/images/defcon-17/ ... swords.pdf