#aferabotowa Wykopu: lepiej się przyznać do bezmyślności czy wycieku?

Podobno zwykły siłowy atak słownikowy wystarczył, by przejąćponad 400 kont użytkowników Wykopu – i wykorzystać je przedewszystkim do wykopywania niektórych treści na stronę główną.Teraz konta te zostały hurtowo zabanowane, a ich użytkownicyzastanawiają się, na ile ta #aferabotowa świadczy o naiwnościofiar ataku, a na ile o słabości zabezpieczeń najpopularniejszegoserwisu social news.

Weekend wyglądał na wykopie nieźle – wystarczyło 30 minut,by na główną stronę wszedł news o lokalnymwydarzeniu (Lubelskich Dniach Informatyki), wsparty kopnięciamisetek osób, które nierzadko całe lata w serwisie nic nie robiły.A ci, którzy z Wykopu korzystali (i których konta wzięły udziałw tej „zabawie”) szybko zauważyli, że historia aktywnościpełna jest nieznanych im adresów IP.

Administracja Wykopu zareagowała dość szybko. Konta zabanowano,o nic nie pytając, a w niedzielę wieczorem wystosowano komunikat,informujący że hasła do tych kont zostały przejęte przezhakerów. Nie był to jednak wyciek danych z bazy, lecz wyniksiłowego ataku, który pozwolił dostać się do kontzabezpieczonych trywialnie słabymi hasłami – tłumaczono.

Jak to się jednak stało, że siłowy atak na system logowanianie został zauważony przez administratorów? Otóż *przeprowadzonogo w sposób, który nie spowodował zauważalnego skoku wobciążeniu, co poniekąd niestety uśpiło naszą czujność *–wyjaśniła administracja Wykopu.

Zapowiedziano też, że atak tenzostanie zgłoszonym odpowiednim organom, a zbanowane konta zostanąprzywrócone dopiero wtedy, aż uda się uzyskać pewność, żedostęp do nich mają tylko właściciele. Wymuszono więczresetowanie hasła i wprowadzono test CAPTCHA, wywoływany przykolejnej próbie po błędnym podaniu hasła. Rozważa się teżzmianę mechanizmu logowania, tak by zamiast loginów stosowaćprzypisane adresy e-mailowe.

No cóż, w sytuacji gdy ponad400 kont użytkowników zostaje złamanych przez potężnego hakera,warto się zastanowić, czy faktycznie winne są słabe hasła.Owszem, ujawnione hasłado przejętych kont wyglądały marnie (trafiały się nawetklasyczne haslo123 czy 123456), ale stosując słownikowy ataksiłowy na serwis online niepostrzeżone trafienie nawet tak słabychhaseł wydaje się niemożliwe. Potrzebne są tysiące prób nawet zprofilowanym słownikiem, by trafić takie słabe hasło, do tegoprzecież zdecydowana większość kont żadnemu słownikowemu hasłusię nie podda.

Jeśli więc faktycznie jest tak,jak twierdzi administracja Wykopu, to napastnik zapewne zebrałdziesiątki proxy i darmowych VPN-ów, przez które przepuścił swójskrypt, przeprowadzający atak słownikowy za pomocą hydryczy innego wyspecjalizowanego narzędzia. Jako że zaś nie napotkałna żadne zabezpieczenia dla serwisu online, po jakimś czasie dostałlistę gotowych par login:hasło. Musiało to długo trwać, boprzecież ujawnione hasła pokazują, że ich rozrzut był bardzoduży.

Jest jednak jeszcze drugamożliwość. A co, jeśli napastnik dysponował bazą loginów iskrótów kryptograficznych haseł użytkowników, a potemkorzystając z klastrów GPU i tęczowych tablic zdołał odwrócićniektóre z nich, te dla prostszych, krótszych haseł?

Jak faktycznie było – możemytylko zgadywać. Jak te hasła.