Datenklau bei eHarmony: In 72 Stunden über 1 Million Passwörter entschlüsselt
Passwortklau bei großer US-Datingplattform (Bild: eHarmony)

Datenklau bei eHarmony In 72 Stunden über 1 Million Passwörter entschlüsselt

Sicherheitsexperten haben die von der Onlinekontaktbörse eHarmony gekaperten Passwortdatenbanken analysiert und innerhalb von 72 Stunden fast 80 Prozent der Kennwörter ausgelesen. Sie waren in MD5-Hashes abgelegt.

Anzeige

Vor wenigen Tagen hatten Hacker von den Servern der Partnervermittlungsseite eHarmony Zugangsdaten entwendet, darunter über 1,5 Millionen gehashte Passwörter. Sicherheitsexperten bei Spiderlabs ist es gelungen, fast 80 Prozent der Passwörter innerhalb von 72 Stunden auszulesen. Wie sich herausstellte, waren sie per MD5 gehasht worden, ohne die Verwendung einer zufällig gewählten Zeichenfolge (Salt).

MD5 gilt inzwischen als unsicher und selbst der Entwickler Poul-Henning Kamp von Md5crypt, das per MD5 und Salt verschlüsselt, rät unbedingt von dessen Verwendung ab. In einem Blogpost erklärt er, dass es 1995 noch zu aufwendig war, die mit Md5crypt verschlüsselten Zeichenketten zu knacken. Inzwischen lassen sich die 128-Bit-Hashwerte mit modernen Rechnern jedoch leicht entschlüsseln. Administratoren sollten mindestens zu dem mächtigeren SHA2-Algoritmus greifen.

Entschlüsselt auf Nvidia-GPUs

Die Sicherheitsexperten bei Spiderlabs nutzen drei GPUs auf Nvidias 460GTX-Grafikkarten, um die von eHarmony erbeuteten Passwörter zu entschlüsseln. Den größten Teil der Arbeit erledigte die Anwendung oclHashcat aus der Softwaresammlung Hashcat. In einem zweiten Schritt setzten die Entwickler John the Ripper ein.

Groß- und Kleinschreibung ignoriert

Eine anschließende Analyse der verwendeten Passwörter ergab, dass eHarmony Kleinbuchstaben bei der Passwortvergabe in Versalien konvertierte und grundsätzlich nicht zwischen Groß- und Kleinbuchstaben unterschied, was die Entschlüsselung zusätzlich erleichterte.

Außerdem fiel den Sicherheitsexperten auf, dass kein Passwort mehr als drei Mal vorhanden war. Möglicherweise hätten Hacker eine bereits kompromittierte Version der Passwortliste im Internet ergattert, schreiben die Sicherheitsexperten.

Jungs- und Mädchennamen

Die meisten Passwörter waren siebenstellig gefolgt von sechs- und achtstelligen Zeichenketten. Sonderzeichen fehlten in 99,5 Prozent der Passwörter. Immerhin vergaben mehr als 50 Prozent der Nutzer ein Passwort mit der Kombination aus Buchstaben und Zahlen, 41 Prozent verwendeten nur Buchstaben. Mit 4 Prozent verwendeten die meisten Nutzer einen 2011 populären, männlichen Vornamen, 2 Prozent verwendeten einen populären, weiblichen aus dem gleichen Jahr. 3,5 Prozent der Nutzer entschieden sich für einen Hundenamen, der unter den 100 populärsten im Jahr 2011 war. Ein halbes Prozent der Nutzer wählte ein Passwort aus der Top-25-Liste der schlechtesten Kennwörter im Jahr 2011.

Erwartungsgemäß für eine Onlinekontaktbörse war die meistgenutzte Zeichenkette: "LOVE".

Anfang Januar 2012 hatte The Tech Herald nach einem Hack der Stratfor-Server die dort geklauten Passwörter entschlüsselt und analysiert.


wonz 28. Jun 2012

Kann man ja ausrechnen ;) Und normalerweise weiss der Hacker ja nicht, dass er überhaupt...

Nasenbaer 27. Jun 2012

Auf Fehler hinweisen ist völlig legitim. Lies dir aber nochmal die Überschrift dieses...

fratze123 27. Jun 2012

schön, dass du nur bauerntrampel kennst. :)

DASPRiD 27. Jun 2012

Lieber gleich Blowfish ;)

Kommentieren



Anzeige

  1. IT-Systemadministrator/-in
    Grüner Fisher Investments GmbH, Roden­bach bei Kaiserslautern
  2. Wissenschaftliche Mitarbeiterin / Wissenschaftlicher Mitarbeiter - Sicherheit in Informationssystemen
    Universität Passau, Passau
  3. Java Developer (m/w)
    GK SOFTWARE AG, Schöneck/Vogtland, Köln, Sankt Ingbert
  4. Software-Ingenieur (m/w) Mask Aligner
    SUSS MicroTec Lithography GmbH, Garching bei München

 

Detailsuche


Folgen Sie uns
       


  1. Internet-Brille

    Lenovo stellt Konkurrenten für Google Glass vor

  2. Ex-NSA-Chef

    Keith Alexander gründet Cybersecurity-Firma

  3. Spielebranche

    Crytek verkauft Homefront mitsamt Studio an Koch Media

  4. Anonymisierung

    Projekt bestätigt Angriff auf Tors Hidden Services

  5. Amazon

    Marketplace-Händler verliert Klage gegen schlechte Bewertung

  6. Groupon

    Gnome und die Tücken das Markenrechts

  7. Secusmart/Blackberry

    Krypto-Handys mit vielen Fragezeichen

  8. Selbsttötung

    Wieder ein toter Arbeiter bei Foxconn

  9. Linux

    Opensuse Factory wird Rolling-Release-Distribution

  10. Bau-Simulator 2015

    Schwere Maschinen am PC



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bluetooth Low Energy und Websockets: Raspberry Pi als Schaltzentrale fürs Haus
Bluetooth Low Energy und Websockets
Raspberry Pi als Schaltzentrale fürs Haus
  1. Echtzeitkommunikation Socket.io 1.0 mit neuer Engine

PC-Spiele mit 4K, 6K, 8K, 15K: "Spielen mit Downsampling schlägt Full-HD immer"
PC-Spiele mit 4K, 6K, 8K, 15K
"Spielen mit Downsampling schlägt Full-HD immer"
  1. Transformers Ära des Untergangs - gefilmt mit Sensoren im Imax-Format
  2. Intel-Partnerschaft mit Samsung 4K-Monitore sollen unter 400 US-Dollar gedrückt werden
  3. Asus ROG Kleine Gaming-PCs im Konsolendesign mit Desktophardware

Samsung Galaxy Tab S im Test: Flaches, poppig buntes Leichtgewicht
Samsung Galaxy Tab S im Test
Flaches, poppig buntes Leichtgewicht
  1. Samsung Neue Galaxy Tabs ab 200 Euro erhältlich

    •  / 
    Zum Artikel