लिंक्डइन ने नमक का उपयोग शुरू कर दिया

लिंक्डइन ने कॉर्पोरेट ब्लॉग पर सुरक्षा नियमों के लिए एक परिशिष्ट प्रकाशित किया है: अब सर्वर पर पासवर्ड हैश नमक के अतिरिक्त के साथ संग्रहीत किया जाएगा। लिंक्डइन अच्छे आईटी सुरक्षा विशेषज्ञों को नियुक्त करता है जो लंबे समय से सिस्टम अपग्रेड की तैयारी कर रहे हैं ताकि हैश नमक के साथ जमा हो जाए। रिसाव के समय तक, एक उन्नयन पहले ही किया जा चुका था, अब अतिरिक्त सुरक्षा स्तरों पर काम चल रहा है।

लिंक्डइन के निदेशक इस बात पर भी जोर देते हैं कि लीक किए गए डेटाबेस में उपयोगकर्ताओं के ईमेल पते इंगित नहीं किए गए थे, और एफबीआई पहले से ही हमलावरों की तलाश कर रहा है।

इस बीच, रिसाव के बाद से, प्रकाशित डेटाबेस से आधे से अधिक पासवर्ड चुने गए हैं। उदाहरण के लिए, सोफोसलैब्स 3.5 मिलियन पासवर्ड लेने में कामयाब रहे, अर्थात्। प्रकाशित लिंक्डइन फ़ाइल से सभी अद्वितीय हैश का 60% (6.5 मिलियन हैश में से केवल 5.8 मिलियन अद्वितीय हैं)।

जॉन द रिपर जैसे कार्यक्रमों में शब्द जोड़ और चरित्र जोड़ / प्रतिस्थापन के साथ ब्रूट-फोर्स डिक्शनरी प्रोसेसिंग की अनुमति है, इसलिए लिंक्डिनोग्राम या p455w0rd जैसे लंबे पासवर्ड को काफी आसानी से डिक्रिप्ट किया जा सकता है। इसके अलावा, कार्यक्रम आपको इस प्रक्रिया में पाए गए पासवर्ड के साथ शब्दकोश को फिर से भरने की अनुमति देता है, इसलिए सात मार्ग के बाद m0c.nideknil (शब्दकोश शब्दावली से) के रूप में ऐसा पासवर्ड था।

उदाहरण
1 पास। नियम के साथ pwlink से pwdlink "तीसरे स्थान पर डी जोड़ें"
2. pwd4link नियम से pwdlink से "चौथी स्थिति में 4 डालें"
3. pwd4link से pwd4link नियम के साथ "एड एड करें"
4. pwd4linked से pw4linked नियम से "3 अक्षर हटाएं"
5. pw4linkedin को pw4linked से नियम "ऐड" में जोड़ें
6. pw4linkedin से mpw4linkedin नियम के साथ "शुरुआत में मी जोड़ें"
7. mw4linkedin mpw4linkedin से नियम के साथ "दूसरा चरित्र हटाएं"
8. smw4linkedin mw4linkedin से नियम के साथ "शुरुआत में एस जोड़ें"
9. नियम से smw4linkedin से sw4linkedin "दूसरा वर्ण हटाएं"
10. lsw4linkedin sw4linkedin से नियम "शुरुआत में l जोड़ें"

सामान्य शब्दकोशों के अलावा, सोफोसलैब्स ने कन्फर्म वर्म द्वारा उपयोग किए जाने वाले शब्दकोश को भी लिया। नीचे Conficker डिक्शनरी के पासवर्डों की एक सूची दी गई है, उनमें से सभी दो (mypc123 और ihavenopass) को छोड़कर लिंक्डइन डेटाबेस में समाप्त हो गए हैं।



लिंक्डइन से चुराए गए 30 सबसे लोकप्रिय पासवर्ड भी देखें।