Gebruikers Ashley Madison hadden vaak naam als wachtwoord
Gebruikers van de website Ashley Madison gebruikten vaak hun gebruikersnaam als wachtwoord, zo hebben onderzoekers ontdekt. De groep onderzoekers genaamd CynoSure Prime liet vorige week al zien dat door enkele programmeerfouten de wachtwoordhashes van Ashley Madison eenvoudig zijn te kraken. Bij de hack van de vreemdgangerswebsite werden zo'n 36 miljoen wachtwoordhashes gestolen.
De hashes moeten ervoor zorgen dat de wachtwoorden van gebruikers niet direct zichtbaar zijn voor een aanvaller in het geval de website wordt gehackt. Ashley Madison gebruikte hiervoor een sterk hashing-algoritme, maar door verschillende programmeerfouten blijken de hashes toch eenvoudig te kraken. Inmiddels hebben de onderzoekers 11,7 miljoen wachtwoordhashes gekraakt.
Daaruit blijkt dat er voornamelijk zwakke en onveilige wachtwoorden werden gebruikt. Zo bestonden 3 miljoen wachtwoorden uit zes karakters en waren er iets minder dan 3 miljoen die uit acht karakaters bestonden. Het kortste gekraakte wachtwoord was één karakter lang. Bijna 10 miljoen wachtwoorden bestonden alleen uit kleine letters of uit kleine letters en cijfers.
Gebruikersnaam
De onderzoekers waren ook benieuwd hoeveel gebruikers hun gebruikersnaam als wachtwoord gebruikten. In totaal werden 630.000 wachtwoorden gevonden die met de gebruikersnaam overeenkwamen. De onderzoekers merken op dat het werkelijke aantal mogelijk hoger ligt, aangezien er alleen voor de hand liggende mutaties werden gebruikt. Als er met meer combinaties van hoofdletters en kleine letters was gezocht was het aantal waarschijnlijk hoger uitgekomen. De onderzoekers stellen dat deze wachtwoorden ook zonder de gevonden programmeerfouten eenvoudig konden worden gekraakt.
Opvallende wachtwoorden
In plaats van een lijst met de Top 10 van veelvoorkomende wachtwoorden te publiceren besloten de onderzoekers een verzameling van opvallende wachtwoorden te maken. Het gaat dan om wachtwoorden als 'allthegoodpasswordshavegone', 'youwillneverfindout', 'everynameitriedwastaken', 'goodguydoingthewrongthing', 'thisisagoodpassword' en 'correcthorsebatterystaple', bekend uit de xkcd-strip.
Zelfs de meest domme gebruikers doen dat namelijk niet eens meer, zeker niet op een vreemgaan site.
Hehe. Dat er geen passwordpolicy was, zegt genoeg over hoe serieus security werd genomen door deze partij.
;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.