Fok maakt nog gebruik van MD5

quote:

Op dinsdag 25 augustus 2009 00:26 schreef Dropdown het volgende:
Kwaliteitstopic om 6 voor half 1. Zal wel dinsdag zijn

quote:

Op dinsdag 25 augustus 2009 00:24 schreef Japsnars het volgende:
Bijna iedere webdeveloepr weet wel dat MD5 wachtwoorden over het algemeen redelijk makkelijk te kraken zijn dankzij gigantische databases die zo ongeveer alle wachtwoorden van 1-9 tekens met lowerUPPER1234567890!@#$%^ bevatten.

Toch blijkt nu dat een van de grootste, al dan niet de grootste, online community van Nederland nog steeds simpelweg normale MD5 encryptie gebruikt.

Hoe lui en onwetend zijn de dev's van fok dan dat ze nog steeds md5() gebruiken ipv bijvoorbeeld een dubbele md5 ( md5(md5($pass)) ) of een salt ( md5($pass.$salt) )

Op zo'n manier kan je er gewoon op wachten dat een van de crew wachtwoorden wordt gekraakt en daarnaast worden alle FOK! users nu ook lekker gescrewed als blijkt dat de cracker een complete kopie heeft gemaakt van iedereens email adres + wachtwoord.

Way to go

quote:

Op dinsdag 25 augustus 2009 00:31 schreef Japsnars het volgende:

[..]

Met een beetje programmeer kennis kan je goud geld verdienen

quote:

Op dinsdag 25 augustus 2009 00:29 schreef Dibble het volgende:
Ga met Iteejer samen om de tafel zou ik zeggen voor een diep gesprek

quote:

Op dinsdag 25 augustus 2009 00:39 schreef Fascination het volgende:
MD5, nu nog? Jezus dat kan echt niet meer nee.

_{Ik heb geen idee waar het over gaat.}

quote:

Op dinsdag 25 augustus 2009 00:39 schreef Fascination het volgende:
MD5, nu nog? Jezus dat kan echt niet meer nee.

_{Ik heb geen idee waar het over gaat.}

quote:

Op dinsdag 25 augustus 2009 00:39 schreef Fascination het volgende:
MD5, nu nog? Jezus dat kan echt niet meer nee.

_{Ik heb geen idee waar het over gaat.}

quote:

Op dinsdag 25 augustus 2009 00:41 schreef dWc_RuffRyder het volgende:
Dit account is overgenomen door Peter Havenaar die in de Van ’t Hoffstraat kaasspeciaalzaak Weydeland leidt.

[ afbeelding ]

quote:

Op dinsdag 25 augustus 2009 00:41 schreef Core2 het volgende:
Goh echt gast? Dat dit nog niet eerder genoemd is in de talloze topics en op de fp over de hack!

quote:

Op dinsdag 25 augustus 2009 00:24 schreef Japsnars het volgende:
Bijna iedere webdeveloepr weet wel dat MD5 wachtwoorden over het algemeen redelijk makkelijk te kraken zijn dankzij gigantische databases die zo ongeveer alle wachtwoorden van 1-9 tekens met lowerUPPER1234567890!@#$%^ bevatten.

Toch blijkt nu dat een van de grootste, al dan niet de grootste, online community van Nederland nog steeds simpelweg normale MD5 encryptie gebruikt.

Hoe lui en onwetend zijn de dev's van fok dan dat ze nog steeds md5() gebruiken ipv bijvoorbeeld een dubbele md5 ( md5(md5($pass)) ) of een salt ( md5($pass.$salt) )

Op zo'n manier kan je er gewoon op wachten dat een van de crew wachtwoorden wordt gekraakt en daarnaast worden alle FOK! users nu ook lekker gescrewed als blijkt dat de cracker een complete kopie heeft gemaakt van iedereens email adres + wachtwoord.

Way to go

quote:

Op dinsdag 25 augustus 2009 00:45 schreef Breuls het volgende:
Nee, we hebben nu echt de ultrabeste stuff geregeld.

quote:

Op dinsdag 25 augustus 2009 00:44 schreef LudoSanders het volgende:
Maar MD5 is dus niet echt topkwaliteit hasj?

quote:

Op dinsdag 25 augustus 2009 00:47 schreef mschol het volgende:

[..]

had je er niet ook wat peper bij willen hebben dan?

quote:

Op dinsdag 25 augustus 2009 00:43 schreef Japsnars het volgende:

[..]

Klopt, als een user aanmeld of zijn password veranderd; genereer je een random salt. Bijvoorbeeld: '7%4Ks' deze sla je vervolgens ook gewoon op in de database, dit kan in een nieuwe tabel maar ook gewoon in de password tabel. Vervolgens fetch je de salt bij het inloggen en controleer je alles.

Het grote nadeel van salts is dus wel dat je steeds de salt moet fetchen wat toch weer extra DB-load kost.

quote:

Op dinsdag 25 augustus 2009 00:49 schreef Breuls het volgende:

[..]

Oh we zijn goed gekruid hoor.

quote:

Op dinsdag 25 augustus 2009 00:44 schreef Breuls het volgende:

[..]

Voor de nuance mag je dit lezen: http://foknl.wordpress.com/2009/08/24/ongezouten-toegang/

quote:

Op maandag 24 augustus 2009 23:19 schreef Danny het volgende:
Beste FOK!ker,

zoals jullie weten zijn we afgelopen zaterdag aangevallen door een hacker die in md5 gehashte vorm opgeslagen passwords heeft ontfutseld. MD5 is in haar standaard vorm tegenwoordig relatief eenvoudig te kraken en dus moest daar een betere oplossing voor komen. Die is er en die zal op zeer korte termijn (vanavond nog) worden doorgevoerd.

Om te voorkomen dat de hacker zich alsnog met de buitgemaakte passwords toegang kan verschaffen tot accounts van gebruikers zullen we ook alle passwords resetten. Dit houdt in dat je zodra je uitlogt pas weer kunt inloggen als je de passmailer gebruikt en op die manier een nieuw wachtwoord hebt gekregen. Die kun je dan weer veranderen via de profielinstellingen. Tussentijds je wachtwoord veranderen kan niet omdat het zonder ingesteld password onmogelijk is in te loggen.

We raden iedereen aan zo snel mogelijk uit te loggen en na verificatie dat inloggen inderdaad niet meer mogelijk is de passmailer te gebruiken. We begrijpen dat dit een lastige procedure is, maar in dit geval kiezen we voor volledige veiligheid.

Mochten er toch problemen zijn, stuur dan even een mail naar forum@fok.nl. We zullen er dan zo snel mogelijk naar kijken.

We rekenen op jullie begrip voor deze situatie.
De Crew

quote:

Op dinsdag 25 augustus 2009 01:01 schreef Japsnars het volgende:

[..]

Ik lees niet ieder uur de mededelingen? Jij wel dan

Als jij iedere 5 minuten de aankondigingen refreshed, dan faal jij toch echt harder

quote:

Op dinsdag 25 augustus 2009 00:57 schreef Japsnars het volgende:

[..]

True, maar dan kom je weer terecht bij het kraak proces.
Je kan ofwel een password brute-forcen (Je genereert random wachtwoorden en vergelijkt de gecodeerde hash hiervan met de hash die je uit de database hebt geplukt)
Of je kan een password vergelijken tegenover een al bestaande database die passwords en de bijbehorende salts bevat. Meestal worden hiervoor rainbow tables gebruikt.

Deze rainbow tables bevatten slechts hashes in de standaard encryptie vorm en dus niet de encryptie vorm met salt. Hierdoor kan je de gejatte password hash niet meer afsteken tegenover zo'n soort database.

De enige overgebleven manier blijft brute-forcen, dit kost vaak enorm veel tijd en omdat iedere gebruiker een random salt krijgt; kan de hacker ook maar 1 wachtwoord met 1 salt tegelijk brute-forcen