Narušení bezpečnosti Drupal.org

Bezpečnost Drupal.org byla narušena. Byl potvrzen neoprávněný přístup k informacím o uživatelských účtech na Drupal.org a groups.drupal.org. Zneužita byla chyba v softwaru třetí strany nainstalovaném na serverech Drupal.org. Nejedná se o chybu v samotném Drupalu. Hesla registrovaných uživatelů byla resetována. Uživatelé jsou vyzváni k zadání nových hesel.

2.6.2013 00:56 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[NN]

K cemu je takova informace, kdyz se clovek vlastne ani nedozvi, jaky 3rd party sofrtware je deravy..

[J]

Tak je nechte..
Si chcou taky uzit toho exploitu.. ;)

[gnat]

Nechápu ten reset hesel. To je mají uložená ? To ještě dneska někdo dělá ?

[Max]

Já spíš nechápu tebe. Ty si snad myslíš, že jsou osolený hashe neprolomitelný?
Zdar Max

[gnat]

ano, myslím si, že pokud nepoužiju SHA1, tak je nalezení kolize dostupnými prostředky neproveditelné

[mikirc]

vis jak se rika, myslet znamena hov...

[Max]

Myslet si můžeš, co chceš, realita je bohužel trochu někde jinde
Zdar Max

[mikirc]

No ja bych spise uzivatelum napsal at si resetuji hesla vsude, kde pouzili to same jak u nich. Precejenom kazdy nema vsude jine heslo. Ano banka, PC, paypal a podobne dulezite, ma normalni clovek jine heslo, ale na nejake portaly davat pokazde jine, to by se jeden zblaznil.

[Jendа]

Bohužel ano. Nevím o žádném použitelném způsobu autentizace přes HTTP(s), při kterém by se druhé straně neposílalo heslo. Ale to se dá pochopit, asymetrická kryptografie byla vynalezena teprve před 35 lety.

To ještě dneska někdo dělá ?

Jak se přihlašuješ na webové stránky ty?

[SAM:]

Shibboleth, eduid.cz a jiné systémy federalizovaných identit

[Jendа]

To je něco jako openID, ne? Tam mi může správce identity kompromitovat všechny účty. Sám si identitu spravovat nemůžu, protože nemám důvěryhodný server a tunelovat to z notebooku, který je za desatero firewally, je opruz.

(možná třepu hovadiny, přiznám se, že zas tak moc dobře tomu nerozumím)

[gnat]

jak to souvisí s tím, jestli ukládají hesla v plaintextu nebo jen hashe ?

[adsfds]

lol, ty uz radsi nic nerikej.

[ivi]

samo ze drupal neuklada v plaintexu, konkretne hesla uklada takto:

Napr. moje heslo: $S$DJox9KNdhPS..VCWsfctuvlfGQWnwQwFlbkKmPe/s3THcqLZzTq

[gnat]

...a nebojíš se ho publikovat, protože jsi také přesvědčený, že je každému k ničemu. Což mě jen utvrzuje v názoru, že reset hesel byl nesmyslný.

[ivi]

este dodam, ze je to v SHA512

[Jendа]

Nijak. Jenže když někdo kompromitoval aplikaci, mohl si hesla, která mu uživatelé poslali, protože zapamatovat.

[gnat]

Jenže kompromitování Drupalu výslovně popírají. Přiznávají jen přístup k údajům o uživatelích. A i tak by šlo jen o účty, ke kterým se někdo v době napadení přihlásil. IMHO je hash osolenýho hesla bez znalosti saltu nanic. Naopak pokud hesla resetuju, nevím, zda je aplikace kompromitovaná a dělám tomu takovouhle publicitu, tak velikost cílové skupiny s rizikem odchycení vzrůstá.

[Jendа]

Nerozumím ti. Nejdřív píšeš, že to popírají, potom, že nevíš, zda je aplikace kompromitovaná.

a dělám tomu takovouhle publicitu, tak velikost cílové skupiny s rizikem odchycení vzrůstá.

Takže je lepší mu těch pár hesel nechat.

[David Jaša]

Nicméně tady vidím sofiinu volbu: buď se heslo neposílá, ale pak ho musí mít každá protistrana v otevřené podobě, je na druhé straně kvalitně osolený hash, ale heslo pak musí cestovat po síti otevřené (resp. tunelované skrz TLS).

[Jendа]

Existují pokročilé metody, jako třeba SCRAM, které jsem si pořád ještě nenastudoval :). Ale triviálně si představ protokol, který ti umožní se 100000x přihlásit, aniž by druhá strana znala heslo a aniž by se heslo posílalo:

• Spočítáš SHA(SHA(SHA(SHA(SHA(SHA(heslo)))))), pošleš službě.
• Příště se přihlásíš hodnotou SHA(SHA(SHA(SHA(SHA(heslo))))), služba zkontroluje, že SHA(hodnota) je to, co jsi jí předtím poslal.
• Příště se přihlásíš hodnotou SHA(SHA(SHA(SHA(heslo)))), služba zkontroluje, že SHA(hodnota) je to, co bylo minule.