23:18
20/11/2013
20/11/2013
Github zablokował kilka kont – powodem są słabe hasła właścicieli i botnet 40 000 unikatowych adresów IP, który próbuje logować się na konta “zgadując” hasła.
o bezpieczeństwie i nie...
Github zablokował kilka kont – powodem są słabe hasła właścicieli i botnet 40 000 unikatowych adresów IP, który próbuje logować się na konta “zgadując” hasła.
Ciekawe skąd wiedzą czy hasło jest słabe ??
z listy hashów? ;)
Stąd, że zostały złamane, bo boty się tam dostały.
Mogą atakować wszystkich. Blokują tych, których hasło zostało odgadnięte (czytaj: było słabe).
Pewnie tak jak mówi krogon. GitHub może lokalnie bruteforce’ować hashe. Jakieś proste ustawienie do bruteforce, np. login=pass, same litery itd. Co się złamie, to zaraz się blokuje. W ten sposób działała Wikimedia Foundation po serii włamań na konta adminów. Część z nich miała właśnie user=pass. Te hashe najprostszych haseł, które złamali, zaraz zablokowali.
Pewnie pojechali lokalnie zwykłym johnem ripperem ;)
Też się zdziwiłem, jak na jednym serwerze userlandowym (www, poczta, ftp) uruchomiłem – to po 5 minutach “bruteforcowania” z automatu poleciałem passwd -l jakieś 40 kont ;)
Niestety, usery to straszne śmierdzące lenie i … jełopy. Ale jak ktoś obcy wejdzie na konto adam z hasłem adam123qwe to krzyk że wina hostingu.
Np. jeśli są to słownikowe hasła, np. 12345 albo abcde
A najlepsze gdy ktoś używa tego samego hasła wszędzie… :)
A czemu nie zachęcacie zainteresowanych do włączenia 2-step auth? Przecież na GitHubie też jest. :)