Philips wachtwoorden eenvoudig te kraken
De wachtwoorden die hackersgroep Rex Mundi afgelopen dinsdag bij Philips buitmaakte waren zeer zwak en eenvoudig te kraken, mede dankzij een Nederlands woordenboek. Anti-virusbedrijf Sophos analyseerde met wachtwoordkraker John the Ripper één gestolen database met zo'n 400 wachtwoord-hashes. Met een enkele processor van zijn toch al niet zo snelle laptop wist Paul Ducklin binnen binnen 3 seconden een kwart te kraken.
Zo'n 200 wachtwoorden waren binnen 50 minuten achterhaald terwijl na twee uur de 53% werd gehaald. Ducklin herhaalde het onderzoek alleen gebruikte hij dit keer niet wachtwoorden die John the Ripper genereerde, maar verschillende woordenboeken, onder andere met Nederlandse woorden.
Nederlands
"Philips is een Nederlands bedrijf, en gezien de namen in de database en de wachtwoorden die ik in de eerste poging aantrof, waren ook veel gebruikers Nederlands", aldus Ducklin. Dit keer was 52% van de hashes na 2 minuten gekraakt. De analist telde de resultaten van de twee pogingen met John the Ripper bij elkaar op en wist uiteindelijk binnen twee uur 66% van de hashes te kraken.
"Het is belangrijk dat bedrijven hun eindgebruikers helpen bij het kiezen van een veilig wachtwoord. De beste oplossing is nog steeds het gebruik van een passphrase", zegt Frank van Vliet, CTO van Certified Secure. "Als er daarnaast ook salting en stretching was toegepast, zou het kraken van de hashes duizenden keren langer duren."
Verder blijt het apart dat salting nog niet standaard is.
===edit
Verder zie ik niet hoe dit artikel in overeenstemming is met "Geef Philips-hackers aan als je ze kent" waarin staat ".....had Philips de wachtwoorden nooit in platte tekst mogen opslaan...". Ik zie niet waarom jack de Ripper dan nodig is. En ik neem dus aan dat Philips wel degelijk hashing gebruikte. Of gaat het over 2 inbraken?
Als je er niets bijzonder mee kunt, is het vooral een privacy probleem. Persoonsgegevens horen niet op straat te liggen.
John the Ripper één gestolen database met zo'n 400 wachtwoord-hashes. Met een enkele processor van zijn toch al niet zo snelle laptop wist Paul Ducklin binnen binnen 3 seconden een kwart te kraken.
400 hases. Binnen 3 seconden een kwart, dus 100 hashes.
Zo'n 200 wachtwoorden waren binnen 50 minuten achterhaald terwijl na twee uur de 53% werd gehaald.
200 = 50% in 50 minuten. 53% = 212, kwam pas 70 minuten later. Lastig die twaalf wachtwoorden.. maar verderop:
Dit keer was 52% van de hashes na 2 minuten gekraakt.
Nu hebben we er 208 in 2 minuten. Das even wat sneller dan de 2 uur die hierboven staat.
De analist telde de resultaten van de twee pogingen met John the Ripper bij elkaar op en wist uiteindelijk binnen twee uur 66% van de hashes te kraken.
En net was het nog 53%?
I IS CONFUSED
Als je er niets bijzonder mee kunt, is het vooral een privacy probleem. Persoonsgegevens horen niet op straat te liggen.
Wat die journalist gedaan heeft, kan met alle zwakke wachtwoorden hoe goed beschermd ook, mits je de database in handen krijgt. Hoe goed die DB beschermd was bij Philips weet ik niet. Eigenlijk heb je als klant daar niets mee te maken. Thuis, in winkels en bedrijven en in de digitale wereld wordt ingebroken, een fact of life. Het mooie van een sterk hashed wachtwoord is, dat de dief er niets mee kan. Probeer dat maar eens in de gewone wereld, de digitale wereld is wat die bescherming btreft bijna uniek.
Maar sterke wachtwoorden zijn moeilijk te onthouden. De enige eenvoudige manier om sterke wachtwoorden te gebuiken is volgens mij het gebruik van een password manager, multi platform.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.