Datenklau bei eHarmony: In 72 Stunden über 1 Million Passwörter entschlüsselt
Passwortklau bei großer US-Datingplattform (Bild: eHarmony)

Datenklau bei eHarmony In 72 Stunden über 1 Million Passwörter entschlüsselt

Sicherheitsexperten haben die von der Onlinekontaktbörse eHarmony gekaperten Passwortdatenbanken analysiert und innerhalb von 72 Stunden fast 80 Prozent der Kennwörter ausgelesen. Sie waren in MD5-Hashes abgelegt.

Anzeige

Vor wenigen Tagen hatten Hacker von den Servern der Partnervermittlungsseite eHarmony Zugangsdaten entwendet, darunter über 1,5 Millionen gehashte Passwörter. Sicherheitsexperten bei Spiderlabs ist es gelungen, fast 80 Prozent der Passwörter innerhalb von 72 Stunden auszulesen. Wie sich herausstellte, waren sie per MD5 gehasht worden, ohne die Verwendung einer zufällig gewählten Zeichenfolge (Salt).

MD5 gilt inzwischen als unsicher und selbst der Entwickler Poul-Henning Kamp von Md5crypt, das per MD5 und Salt verschlüsselt, rät unbedingt von dessen Verwendung ab. In einem Blogpost erklärt er, dass es 1995 noch zu aufwendig war, die mit Md5crypt verschlüsselten Zeichenketten zu knacken. Inzwischen lassen sich die 128-Bit-Hashwerte mit modernen Rechnern jedoch leicht entschlüsseln. Administratoren sollten mindestens zu dem mächtigeren SHA2-Algoritmus greifen.

Entschlüsselt auf Nvidia-GPUs

Die Sicherheitsexperten bei Spiderlabs nutzen drei GPUs auf Nvidias 460GTX-Grafikkarten, um die von eHarmony erbeuteten Passwörter zu entschlüsseln. Den größten Teil der Arbeit erledigte die Anwendung oclHashcat aus der Softwaresammlung Hashcat. In einem zweiten Schritt setzten die Entwickler John the Ripper ein.

Groß- und Kleinschreibung ignoriert

Eine anschließende Analyse der verwendeten Passwörter ergab, dass eHarmony Kleinbuchstaben bei der Passwortvergabe in Versalien konvertierte und grundsätzlich nicht zwischen Groß- und Kleinbuchstaben unterschied, was die Entschlüsselung zusätzlich erleichterte.

Außerdem fiel den Sicherheitsexperten auf, dass kein Passwort mehr als drei Mal vorhanden war. Möglicherweise hätten Hacker eine bereits kompromittierte Version der Passwortliste im Internet ergattert, schreiben die Sicherheitsexperten.

Jungs- und Mädchennamen

Die meisten Passwörter waren siebenstellig gefolgt von sechs- und achtstelligen Zeichenketten. Sonderzeichen fehlten in 99,5 Prozent der Passwörter. Immerhin vergaben mehr als 50 Prozent der Nutzer ein Passwort mit der Kombination aus Buchstaben und Zahlen, 41 Prozent verwendeten nur Buchstaben. Mit 4 Prozent verwendeten die meisten Nutzer einen 2011 populären, männlichen Vornamen, 2 Prozent verwendeten einen populären, weiblichen aus dem gleichen Jahr. 3,5 Prozent der Nutzer entschieden sich für einen Hundenamen, der unter den 100 populärsten im Jahr 2011 war. Ein halbes Prozent der Nutzer wählte ein Passwort aus der Top-25-Liste der schlechtesten Kennwörter im Jahr 2011.

Erwartungsgemäß für eine Onlinekontaktbörse war die meistgenutzte Zeichenkette: "LOVE".

Anfang Januar 2012 hatte The Tech Herald nach einem Hack der Stratfor-Server die dort geklauten Passwörter entschlüsselt und analysiert.


wonz 28. Jun 2012

Kann man ja ausrechnen ;) Und normalerweise weiss der Hacker ja nicht, dass er überhaupt...

Nasenbaer 27. Jun 2012

Auf Fehler hinweisen ist völlig legitim. Lies dir aber nochmal die Überschrift dieses...

fratze123 27. Jun 2012

schön, dass du nur bauerntrampel kennst. :)

DASPRiD 27. Jun 2012

Lieber gleich Blowfish ;)

Kommentieren



Anzeige

  1. Produktmanager Digital (m/w)
    Commerz Finanz GmbH, München
  2. IT-Teamleitungen (m/w) für Betreute Lokale Netze an beruflichen Schulen
    Landeshauptstadt München, München
  3. Software Developer / Architect SAP (m/w)
    evosoft GmbH, Nürnberg
  4. Mobile Developer - Andriod / iOS (m/w)
    PAYBACK GmbH, München

 

Detailsuche


Folgen Sie uns
       


  1. Demo gegen Überwachung

    "Wo bleiben die deutschen Whistleblower?"

  2. Deutsche Grammophon

    Klassik streamen mit bis zu 320 Kbps

  3. Alibaba

    Milliardenschwerer Börsengang wohl Mitte September

  4. Test Infamous First Light

    Neonbunter Actionspaß

  5. Nach Wurstfirmeninsolvenz

    Redtube-Abmahn-Anwalt verliert Zulassung

  6. Gat out of Hell

    Saints Row und die Froschplage in der Hölle

  7. Ridesharing

    Taxidienst Uber in 200 Städten verfügbar

  8. Telefónica und E-Plus

    "Haben endgültige Freigabe von EU-Kommission bekommen"

  9. Intel Core i7-5960X im Test

    Die PC-Revolution beginnt mit Octacore und DDR4

  10. Nintendo

    Neuer 3DS mit NFC und zweitem Analogstick



Haben wir etwas übersehen?

E-Mail an news@golem.de



Spiele auf dem Oculus Rift DK2: Manchmal klappt es, manchmal nicht
Spiele auf dem Oculus Rift DK2
Manchmal klappt es, manchmal nicht
  1. Oculus Rift Geld für gefundene Sicherheitslücken
  2. Virtuelle Realität Hüft-OP mit Oculus Rift und zwei Gopro-Kameras
  3. Oculus Rift Valve aktualisiert SteamVR für das DK2

Sofia: Der fliegende Blick durch den Staub
Sofia
Der fliegende Blick durch den Staub
  1. Bioelektronik Pilze sind die besten Zellschnittstellen
  2. Teilchenbeschleuniger China will Higgs-Fabrik bauen
  3. Wissenschaft Hören wie die Fliegen

IPv6: Der holprige Weg zu neuen IP-Adressen
IPv6
Der holprige Weg zu neuen IP-Adressen
  1. Containerverwaltung Docker 1.2 erlaubt Regelung von Containerneustarts
  2. Stellenanzeige Facebook will Linux-Netzwerkstack wie in FreeBSD
  3. Für Azure Microsoft gehen US-IPv4-Adressen aus

    •  / 
    Zum Artikel