Nvidia-Hack: Hacker veröffentlichen Anwenderdaten aus Nvidia-Forum
Bei Pastebin gibt es rund 800 Datensätze von Anwendern(öffnet im neuen Fenster), die sich auf den Webseiten von nvidia.com registriert hatten. Vorsicht ist beim Aufrufen des Links geboten, denn die rund 300 KByte Daten (einmal roh und einmal formatiert) brauchen auch bei schnellen Verbindungen einige Zeit, bis sie im Browser dargestellt sind.
Nach Angaben der Hacker, die sich "Team Apollo" nennen, handelt es sich nur um einen Auszug des Materials, der durch die Längenbeschränkung von Pastebin-Postings zustande kam. Auch den Rest der Datensätze wollen die Datendiebe veröffentlichen. Um wie viele Accounts es sich insgesamt handelt, gibt Apollo nicht an.
Die Hacker zeigen sich überrascht, dass Nvidia zu dem Einbruch in die eigenen Systeme überhaupt Stellung nahm, vor allem, weil die Aktion nach Angaben von Apollo schon "einige Wochen" zuvor stattgefunden hat. Noch sind die Foren von Nvidia offline.
Sehr nebulös sind die Angaben von Apollo zu den Motiven, sowohl was den Hack an sich, als auch was die Veröffentlichung betrifft. Man wolle "die Datenbank benutzen, um ekelhafte Unternehmen, die es auch verdient haben, der Gerechtigkeit zuzuführen". Ob damit Nvidia selbst gemeint ist – zahlreiche Adressen von Mitarbeitern finden sich in dem Material – oder andere Hightech-Firmen, sagen die Hacker nicht.
Sie weisen aber darauf hin, dass anders als von Nvidia bisher angegeben nicht nur die Nutzerforen und die Download-Seiten für Entwickler von dem Hack betroffen sind. Auch die Daten der Kunden von Nvidias Onlineshop sollen erbeutet worden sein. Der "Nvidia Gear Store" verkaufte zwar keine teure Elektronik, sondern nur Merchandise wie T-Shirts und Taschen, ist aber bisher ebenfalls offline(öffnet im neuen Fenster) – damit entsteht dem Unternehmen ein wohl geringer, aber doch direkter Schaden.
Wie sicher sind die Passwörter gehasht?
Brisanter für die Firma ist der Imageverlust, vor allem durch einen Umstand, auf den Apollo gar nicht selbst hinweist. Wie Heise Online(öffnet im neuen Fenster) berichtet, sind die Passwörter der Nutzer möglicherweise nicht so gut gesichert, wie Nvidia das bisher behauptet hat. In der immer noch unverändert zu sehenden Erklärung des Unternehmens(öffnet im neuen Fenster) behauptet der Chiphersteller, die Passwörter seien gehasht und mit einem zufallsgenerierten Salt(öffnet im neuen Fenster) versehen gewesen.
Dass das wahrscheinlich nicht so ist, geht aus den nun veröffentlichten Daten hervor. Als Hash der Passwörter findet sich darin dreimal die Zeichenkette "b018f55f348b0959333be092ba0b1f41". Sie ergibt sich, wenn man "nvidia123" mit dem MD5-Algorithmus behandelt. Das lässt sich mit einem MD5-Generator(öffnet im neuen Fenster) leicht ausprobieren.
Wenn die Passwörter aber, wie Nvidia behauptet, nicht nur MD5-kodiert, sondern auch mit einem Salt versehen worden wären, dürfte sich vor allem bei einem derart kleinen Datensatz nicht mehrfach der gleiche Hash finden lassen. Das wäre umso unwahrscheinlicher, wenn zufällige Salts verwendet worden wären.
- Anzeige Hier geht es zu NVIDIA-Grafikkarten bei Alternate Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.