Unikla databáze uživatelů WineHQ

Útočníci získali databázi uživatelů WineHQ včetně hesel, pravděpodobně pronikli kvůli chybě v nástroji phpMyAdmin. Uživatelům byl zaslán e-mail s novým heslem.

11.10.2011 22:04 | Zopper | Bezpečnostní upozornění

Komentáře

[Ladislav Nešněra]

By mě zajímalo, co tam kdo hledá za štěstí.. Nebo to je nějaký self audit OSS projektů?

[Bedňa]

Neni nad to prehliadať bugzilly a hľadať exploity, keď sa nudím je to zábava, potom je šťastie na koho to padne, spravidla Widle servery a správne politické strany :) Ale použiť to na WineHQ by poukazovalo na jednu spoločnosť :D

Keď už sme pri tom, raz som len na skúšku spustil jeden skript na zhodenie Widle serveru istej politickej strany, jediný krát čo som nepoužil TOR (lenivosť) a odvtedy keď napíšem nmap mám banán od ISP tak na cca 5minút, proste ma ustrihnú. Už sa vám to stalo :) Vybabral som s tým, že spúšťam nmap na diaľku, ale toto som fakt nečakal :)

[Dragon Jake]

teď jsem opravdu rád, že jsem si po incidentu s Mt.Goxem stáhl KeePass a nechal vygenerovat hesla, která si nemusím pamatovat, ke všem webům, ke kterým běžně přistupuji

[lyon]

Koukám, že nejsem sám, kdo má takové štěstí...

[Zopper]

Keepass mi ovšem nepomůže, když nejsem na svém stroji. Teoreticky s sebou můžu nosit portable verzi (jestli je), ale stejně mi přijde lepší vymyslet hesla, která se snadno pamatují a přitom jsou bezpečná. Kombinaci slov, které mají něco společného s danou službou, případně i uživatelským jménem a "zašifrované" jednoduchými operacemi, které provedete v hlavě, to je moje metoda

Nemluvě o tom, že "heslO*nA*abclinuxU" je bezpečnější, než "Ax*_@jjdR#de". Jen je to potřeba nějak jednoduše pozměnit, aby únik jednoho hesla neprozradil použitý "algoritmus" tak jako v tomto případě.

[Dragon Jake]

Kdysi jsem příležitostně používal genpass.js od tuším Davida Grudla, který jsem měl jako bookmarklet v prohlížeči. Jenže podpora bookmarkletů je třeba v Androidu nulová a musí se to řešit externím HTML dokumentem. K tomu je vhodné, aby byl generující HTML dokument na bezpečném místě, protože je v něm uloženo master heslo.

Portable verze KeePassu naštěstí existuje a je jich mnoho, ta pro Android se jmenuje KeePassDroid. Synchronizaci řeším prostě přes SFTP a stáhnu data dle potřeby. Uznávám, že je sice trochu opruz datlit v mobilu 12 znaků a-zA-Z0-9 plus základní speciální znaky, ale za tu jistotu a všeobecné pohodlí (ChromeIPass na svých strojích) to přežiju :)

[Martin Lojda]

KeePassDroid také používám a po otevření detailu položky se automaticky v tray objeví možnosti na kopírování loginu a hesla do schránky, odkud už jdou bez problémů vložit do přihlašovacího formuláře. Po vymazani traye nebo ukončení KeePassAndroid se smaže obsah schránky.

[Dragon Jake]

aha! Měl jsem na mysli "číst to titěrně vypsané heslo a přepisovat ho do počítače/jiného telefonu". Posledně jsem se takhle logoval v terénu na Foursquare na jiném telefonu asi třikrát, protože mi díky slunci nešlo správně přečíst heslo :)

[Stanislav Brabec]

Androidí aplikace Remote Web Desktop má skvělou věc zvanou Shared Clipboard. Ideální pomůcka na kopírování 20znakových nezapamatovatelných hesel z telefonu do počítače.

[Dragon Jake]

Co se týče generování hesel z hlavy, nejsem velký fanda této metody. Cokoli totiž takto vymyslíte, má poměrně nízkou entropii a kdyby někdo byť jen trochu znal vaše myšlenkové pochody (třeba jste nám je teď právě prozradil :), má docela slušnou šanci metodou pokus/omyl na heslo přijít.

To už spíš fandím generování hesel metodou "kočka se projde po klávesnici" (ta ale může být natolik pomalá, že její pohyby se podaří předvídat) nebo "kuře a zrní kolem Enteru" (entropie je úměrná rozmístění zrní v klávesnici, které nemusí být vůbec náhodné) :D

[Zopper]

Je otázka, jestli se bavíme o bezpečnosti hesel proti náhodnému, nebo cílenému útoku. Pokud budu mít přístup k citlivým datům (třeba v zaměstnání), nebo budu známá osobnost, určitě budu používat hesla s vyšší entropií, to by takový útok smysl dával. Ale v současné době by cílený útok neměl absolutně žádné ekonomické opodstatnění a jelikož při náhodných útocích útočník netuší, jaký typ hesla mám, jsou i hesla s nižší entropií bezpečná. :)

(Pochybuju, že se někdo bude koukat na každé heslo a snažit se přijít na nějaké spojení se službou, dešifrovat... Maximálně tak kdyby to bylo tak jak v mém příkladu jasně čitelné)

[Dragon Jake]

pak už jen záleží, jak moc velký jste paranoik ;)

[polymorf]

Obligatory xkcd refference

[Sten]

Na situaci s WineHQ bych aplikoval spíše tohle xkcd

[Blbec]

Ať žije cloud. http://www.novinky.cz/zahranicni/evropa/247170-nemecke-urady-rozsirily-do-pocitacu-lidi-tajny-program-na-spehovani.html

[j AM]

Blbče, a souvislost s cloudem je kde?

[Bedňa]

Si rozbeháš Widle cloud na Wine

[j AM]

Asi jo, a pak si do toho cloudu nainstaluju ten špehovací program, ať mají Blbci radost.