Sunt aproape convins // ca linkedin (la fel ca marea majoritatea a aplicatiilor) foloseste asa cum e si firesc un algoritm de criptare one way (la fiecare autentificare se genereaza un nou hash si se compara hash-ul generat cu cel din baza de date) si daca e asa, atunci nu e nicio problema.

Hashed password // Cauta despre Rainbow table (http://en.wikipedia.org/wiki/Rainbow_table). Problema e ca ei n-au folosit salt.

Dictionary attack // Parolele sunt, foarte probabil, simple in majoritatea cazurilor, contin cuvinte de dictioinar alaturate, etc. Un "Dictionary attack" le rezolva destul de usor, pe majoritatea. Desigur, o parola de genul dfghkljdf^&78%26 nu va putea sparta usor (sau niciodata) in felul asta, dar cine foloseste asa ceva?

da' ce, LinkedIN e GiGEL.RO ? // Doar incepatorii si siteurile de 2 lei codeaza parolele fara cheie, adica doar hash/md5/sha1('parola'). Doar in cazul asta se obtine reversul cu metoda dictionarului. In schimb, daca au pus mana si pe cheia de codare, care poate fi simpla sau multipla, abia atunci se poate aplica metoda dictionarului.

nu inteleg ce vrei sa zici // Desigur ca utilizez la parola cuvinte comune si nume proprii, ca doar nu o sa bag ceva de genul "N3fx_20%h592de4f2b_KgurT3" dar in diferite COMBINATII, nu prea vad cum pot fi depistate usor. Linkedin nu are un sistem care sa semnaleze cand un "utilizator" incearca de 10.000 de ori sa se logheze, cu diferite parole?!

poate ai dreptate // Se poate sa ai dreptate dat oricum e mai bine sa o schimb decat sa sper ca e ca tine. Asta am gasit pe un alt site despre parolele de la linkedin: "LinkedIn utilizes SHA-1 cryptographic hash functions which are found in SSL and TLS security protocols. While that method is considered “relatively” secure” it is not fool proof. Apparently LinkedIn passwords were being stored as unsalted hashes which makes them easier to decipher using pre-computed rainbow tables." http://www.inquisitr.com/248770/hacker-claims-6-5-million-linkedin-passwords-hacked/

tocmai am schimabt parola // Apoi, am dat de urmatorul mesaj care imi sugereaza sa bag parola de gmail sa caut alte conexiuni: "Your email is safe with us! We will not store your password or email anyone without your permission. " Nice.

Nu stiu cine a scris articolul citat de tine, // dar nu vad legatura intre SSL, care folosind un algoritm asincron cripteaza intreg request-ul (inclusiv parola userul-ui introdusa in formul de login) pana la serverul care-l trateaza si restrictia de a folosi SHA-1(in locul unui MD5) la nivelul serverului pentru criptarea parolei inainte de autentificare in baza de date.

nope // Nu e chiar asa. E o diferenta mare intre teorie si practica. Aplicatiile vechi salveaza in baza de date un hash generat din parola folosind un algoritm standard, gen MD5 sau SHA1. Teoretic din acest hash nu poti afla parola originala (sau o alta parola care sa aiba acelasi hash), doar ca in practica se poate (http://en.wikipedia.org/wiki/Rainbow_table). In plus exista pe net destule baze de date cu hash-uri gata calculate. De aceea aplicatiile mai noi folosesc si SALT: se genereaza hash-ul pentru parola, se adauga niste caractere random (salt-ul), dupa care se genereaza din nou hash-ul: hash_final = hash(hash(parola) + salt). In baza de date se salveaza hash_final si salt. Este mult mai greu de "spart" asa ceva, mai ales daca salt-ul nu are doar 2-3 caractere. Insa cand ai o baza de date cu 6.5 milioane de conturi atunci poti afla o parte din parole foarte repede: 1. Multi au ca parola numele contului: gigel cu parola gigel. 2. Multi au ca parola ceva simplu, gen aaa, 123, abc etc... 3. Foarte multi au ca parola un cuvant standard. 4. Foarte multi au ca parola un cuvant standard, in care au inlocuit a cu 4, i cu 1, s cu 5 etc... 5. Foarte multi au ca parola un nume (al amantei, ai sotiei, al copilului etc...) 6. Multi au ca parola numele unei echipe. etc... Asa ca poti afla enorm de multe parole fara prea mare stres. As zice ca daca n-au folosit SALT atunci or sa afle aproape toate parolele pana la urma daca baza de date e publica si sunt o groaza de indivizi care se streseaza cu ea.

re // am vazut ca folosesc sha1 fara salt ceea ce le face mai repede de procesat prin brute-force dupa cum se vede in poza: http://i.imgur.com/xSSoN.png Titlul induce in eroare citiorii pentru ca nu e vorba de criptare (unde exista cheia de decriptare) mai degraba e o functie care creaza un sir lung de caractere acest sir lung ireversibil poate fi decoadat prin incercarea fiecarei combinatii posibile (printre altele) De exemplu "test" hash-uit in MD5 (un alt agoritm) e '098f6bcd4621d373cade4e832627b4f6' iar de spart se sparge foarte usor dar o parola ca asta "9Ql-FtiptevLO0UDbviV" care are hash-ul MD5 '3b8aa5b95787f3832ec0322abfed1807' se sparge foarte foarte greu unde sunt 1,32x10^^36 combinatii. Daca ai o parola buna formata din, litere mari, mici si numere si sa zicem ca ar fi de lungime 10 eu as putea sa o sparg in 2 ani si 7 luni la o rata de 10 mld / parole / s testand in acest timp 8.39 x 10^^17 combinatii posibile cu conditia ca parola sa fie random. Acesti 2 ani si 7 luni se pot transforma foarte usor in 2-3 minute daca folositi un cuvant gen: "p4roLLLa"

intr-adevar // Da, o zi cu adevarat neagra! Sunt absolut distrus...

10x // parola schimbata, mersi de pont.

aiurea // parolele alea daca au fost criptate cum trebuie nu mai pot fi decriptate

cont sters // cont sters, mersi mult

cine se protejeaza? // problema este ca multi folosesc aceeasi parola si email/username la mai multe conturi. Daca de exemplu aceleasi detalii se folosesc pt contul de paypal, atunci chiar e nasol...

Word to the wise // Daca folositi acea parola si la alte conturi asociate cu adresa de email de pe linkedin ar fi o idee buna sa le schimbati si pe alea.

Lista cu parole // In primul rand nu sunt lamurit de unde au obtinut hackerii lista cu parolele criptate. linked-in e de cacao rau daca au lasat sa scape o asa informatie.

Nu e asa grav // Nu folositi aceasi parola pe mai multe siteu-ri daca sunt importante. O metoda sa tineti minte mai multe parole e sa folositi o parte comuna de exemplu passw0rd(ceva mai complicat care contine litere si cifre) la care adaugati numele site-ului undeva in text, ex: linkedinpassw0rd, passw0rdlinkedin. O alta solutie pe care o folosesc, e sa pun pur si simplu o parola supercomplicata pe care n-o tin minte. Doar o folosesc o singura data si las browserul s-o tina minte. Daca folosesc alt browser/calculator, cer pur si simplu resetarea ei. Din cate stiu eu in urma hash-uirii nu se pot reconstitui parolele.

... // Iar eu daca aflu ca pe Linkedin ai parola linkedinpassw0rd, cat de greu imi va fi sa-mi dau seama ca pe Yahoo ai yahoopassw0rd?

!!! // cand au spart site-ul eJobs de la noi, nimeni nu a suflat o vorba....