Een onderzoeker is erin geslaagd om 4.000 wachtwoorden van gebruikers van Ashley Madison te kraken, waarmee wordt aangetoond hoe belangrijk het is om een sterk wachtwoord te kiezen. Aanvallers wisten vorige maand een grote hoeveelheid data van Ashley Madison te stelen, de site voor vreemdgangers.

De gegevens werden vorige week deels gepubliceerd. Tussen de gestolen data bevonden zich ook 36 miljoen wachtwoordhashes. Ashley Madison had de wachtwoorden niet in platte tekst opgeslagen, maar in gehashte vorm. Hierdoor zijn ze niet direct leesbaar, maar kunnen ze wel worden gekraakt. Dean Pierce, Linux security-engineer bij chipgigant Intel, besloot de wachtwoordhashes met zijn speciale "kraakmachine" te kraken.

De computer van Pierce bestaat uit vier ATI R9 290 videokaarten. Voor het hashen van de wachtwoorden had Ashley Madison het bcrypt-algoritme gebruikt en was er ook van een 'salt' gebruik gemaakt. Dit maakt het veel lastiger om de wachtwoordhashes te kraken. Bij een zwakker algoritme, zoals MD5, is het mogelijk om miljoenen wachtwoordcombinaties per seconde te proberen. In het geval van de gesalte bcrypt-hashes kwam Pierce met zijn computer niet verder dan 156 hashes per seconde.

Verder bleek ook de omvang van het aantal wachtwoordhashes problematisch, waardoor hij 6 miljoen van de 36 miljoen wachtwoordhashes kon inladen. Voor het kraken van de hashes gebruikte hij de RockYou-woordenlijst. RockYou is een bedrijf dat widgets voor sociale media ontwikkelt. In 2009 werd het gehackt, waardoor aanvallers meer dan 32 miljoen wachtwoorden wisten te stelen. Deze wachtwoorden waren in platte tekst opgeslagen en verschenen uiteindelijk op internet. Sindsdien worden de wachtwoorden van RockYou door veel onderzoekers als standaardlijst voor het kraken van wachtwoorden gebruikt.

Kraaktijd

Pierce liet zijn machine vijf dagen aanstaan, waarbij hij uiteindelijk 4.000 wachtwoorden wist te kraken. Dat komt neer op 32,6 gekraakte wachtwoorden per uur. Verder bleek dat er 1191 unieke wachtwoorden tussen zaten. Het meestvoorkomende wachtwoord is "123456", dat 202 keer voorkwam. Verder bleek dat 105 gebruikers het wachtwoord "password" hadden gekozen. Pierce maakte een Top 20 van de meestvoorkomende wachtwoorden. De lijst lijkt erg veel op andere wachtwoordenlijsten die regelmatig worden gepubliceerd.

Volgens de onderzoeker is het waarschijnlijk onmogelijk om elk bcrypt-wachtwoord te kraken, maar zullen in het geval van Ashley Madison uiteindelijk tal van wachtwoorden toch worden achterhaald. Het gaat in dit geval vooral om zwakke wachtwoorden die al op allerlei woordenlijsten voorkomen of eenvoudig via brute force zijn te achterhalen. Zo komen op de lijst van Pierce vooral korte wachtwoorden van minder dan acht karakters voor.