Jelszavakat loptak a Linkedintől

Hat és félmillió jelszó szivárgott ki a legnagyobb professzionális közösségi oldaltól, a Linkedintől. A jelszavak titkosítva voltak, ám vissza lehet őket fejteni.

Óriási jelszógyűjtemény jutott ki az internetre egy orosz hackerfórum szerint. Az adatbázis az online önéletrajzként és szakmai profilként is használható Linkedin közösségi oldalról származik. A kiszivárgott adatbázis több mint 6,4 millió azonosítót tartalmaz, a fórum üzemeltetői azonban csak a titkosított jelszavakat hozták nyilvánosságra, a hozzájuk tartozó felhasználóneveket nem.

Visszafejthető jelszókat loptak el

A webes szolgáltatások úgy szokták tárolni a jelszavakat, hogy azok ne legyenek visszafejthetőek. Jellemzően nem is magát a jelszót mentik el, hanem egy abból képzett karaktersort. Hogy az adatbázisban tárolt adatokból még véletlenül se lehessen visszaállítani a felhasználó jelszavát ezért a képzés során egy állandó karaktersort, ezt hívják sónak (salt), csapnak a jelszóhoz, majd ezután vezetik át a szöveget egy törőkódon. Ez a kódolás a Linkedin esetébena SHA-1 nevű hashkóddal történt.

Ellenőrzéskor a weboldal ugyanezt a műveletet végzi el, és ha a felhasználó által beírt kódsorból ugyanaz a szöveg áll elő a sózás és a törőkód után, mint ami az adatbázisban található, akkor a felhasználót beengedik az oldalra.

A Linkedin esetében az a legaggasztóbb, hogy a kiszivárgásban érintett Securityninja nevű twitterező letesztelte, hogy milyen eredményt ad, ha jelszavát átvezeti a Linkedin által is használt törőkódon. Mivel a két karaktersor egyezett, így a twitterező arra a következtetésre jutott, hogy a közösségi oldal biztonsági rendszerének tervezői visszafejthető módon tárolták a jelszavakat. A Mashable technológiai blog információi szerint háromszázezer jelszót vissza is fejtettek már a hackerek.

Minél hamarabb jelszót kell cserélni

A Linkedin egyelőre nem reagált a hivatalos blogján a kiszivárgásról szóló hírekre. A cég Twitterén viszont közölték, hogy a kiberbiztonsági embereik már vizsgálják a jelszólopási ügyet.

A professzionális közösségi oldalnak több mint 150 millió felhasználója van, így a mostani kiszivárgás csupán a felhasználóbázis négy százalékát érinti. Mivel az incidensben érintett azonosítók listája nem érhető el, így azt javasoljuk minden hazai Linkedin tagnak, hogy cseréljen jelszót. Ha pedig a belépési kódot több helyen is használta, úgy tanácsos a többi helyen is lecserélni azt.