Sicherheitsproblem bei BerliOS
Datei mit verschlüsselten Passwörtern war für jeden lesbar
Die vom Fraunhofer FOKUS betriebene Open-Source-Entwicklerplattform BerliOS hatte ein Problem mit der Sicherheit ihrer Passwörter: Eine Datei mit den verschlüsselten Passwörtern war vorübergehend für jeden lesbar abgelegt.
Nard'/parasitical weist auf das von ihm entdeckte Problem hin, das mittlerweile behoben ist. Er fand auf dem Subversion-Server von BerliOS eine Datei mit den verschlüsselten Passwörtern der Nutzer, die für jeden einzusehen war. Als Verschlüsselung kam DES zum Einsatz, so dass zumindest ein Teil der verschlüsselten Passwörter leicht zu entschlüsseln war.
Nard'/parasitical kritisiert vor allem, dass das Fraunhofer FOKUS auf das Problem nicht öffentlich hinwies. Zwar hatte der BerliOS-Betreiber dafür gesorgt, dass die Datei nicht mehr öffentlich zugänglich war, benachrichtigt wurden jedoch nur Nutzer, deren Passwörter leicht zu knacken waren. Sofern diese Nutzer nicht reagierten, wurden die Passwörter zwangsweise geändert, um die Accounts vor Einbrüchen zu schützen. Anstatt von DES kommt nun der Hash-Algorithmus MD5 zum Einsatz, um künftig eine Entschlüsselung zu verhindern.
MD5 ist für jeden praktischen Zweck genauso sicher wie ein AES-basierter Hashwert. Auch...
Warscheinlich ist der Aufwand für Rainbow tables aber zu groß.
Finde ich bei der gegebenen Gesetzeslage durchaus verständlich, viel zu leicht wird...