LinkedIn, vittima di attacco hacker: rubate 6,5 milioni di user password

Un gruppo di hacker è riuscito a rubare le password di 6,5 milioni di utenti iscritti a LinkedIn che erano state criptate in maniera leggera. Successivamente sono state postate su un forum russo a completa disposizione di tutti. La notizia, riportata dal Wall Street Journal, è stata confermata poi da LinkedIn. Le password rubate rappresentano circa il 4% del totale, visto che a LinkedIn sono iscritti circa 150 milioni di utenti.

LinkedIn ha subito bloccato gli account che hanno subito il furto delle password, annullando la validità delle stesse. Gli iscritti stanno inoltre ricevendo da Linkedin alcune informazioni su come cambiare le proprie password. Un passaggio che gli esperti di sicurezza online hanno invitato ad effettuare da subito: anche perché LinkedIn, vista la sua natura professionale, contiene informazioni sulle strutture aziendali e progetti di impresa.

LinkedIn ha confermato che alcuni degli hash delle password che sono stati inseriti online non corrispondono agli utenti del suo servizio. Essi hanno inoltre dichiarato che le password resettate saranno ora memorizzate in formato hash salt. Si tratta di una stringa che viene aggiunta alle password prima che venga generato un hash crittografico. Ciò significa che le liste di password non possono essere pre-calcolate sulla base di attacchi dizionario o tecniche analoghe.

Questo è un fattore importante per limitare gli attacchi di tipo brute force alle password. Anche per guadagnare tempo e purtroppo gli hash pubblicati da LinkedIn non contenevano il salting. Dopo aver rimosso gli hash duplicati, SophosLabs ha determinato che ci sono 5,8 milioni gli hash delle password uniche nel dump, di cui 3,5 milioni sono già stati attaccati da forza bruta. Ciò significa che oltre il 60% degli hash rubati sono ora di pubblico dominio.

Sophos ha fatto anche alcuni test supplementari per le password comunemente usate che non dovrebbero mai essere utilizzate. Sophos ha iniziato con l'elenco delle password che il worm Conficker ha utilizzato per diffondersi attraverso le reti Windows. Tutte tranne due delle password Conficker sono state utilizzate da qualcuno nel dump dei 6,5 milioni user password. Le due password che non sono state trovate sono "mypc123" e "ihavenopass".

Risolti, invece, i problemi di trasmissione dati non autorizzata ai server dell'azienda delle app. Di recente il social network ha avuto problemi con l’applicazione per iOS che trasmetteva informazioni collegate all'agenda in formato testo libero direttamente ai server online. Su Google Play Store adesso la situazione è tornata sotto controllo, mentre Apple sta approvando la revisione dell'applicazione.

Microsoft rilascia patch di sicurezza per vulnerabilità in ASP.NET

Microsoft rilascerà a breve un aggiornamento out-of-band di protezione per risolvere una falla critica di sicurezza (CVE-2011-3414) che si trova in ASP.NET, che colpisce tutte le versioni supportate di .NET Framework, che potrebbe consentire un attacco denial-of-service su server che servono pagine ASP.NET.Questi attacchi che sfruttano le tabelle hash, conosciuti come hash collision attacks, non sono specifici di tecnologie Microsoft, ma altri fornitori software di web service potrebbero risentirne. 

In un advisory pubblicato Mercoledì , il produttore di software ha detto che era consapevole del fatto che informazioni dettagliate erano state pubblicate per descrire gli attacchi di collisione hash. "La vulnerabilità interessa tutte le versioni di Microsoft NET framework e può condurre ad un attacco tipo denial-of-service non autenticato sui ​​server che servono le pagine ASP.NET. La vulnerabilità è dovuta al modo in cui ASP.NET processa i valori in un modulo post ASP.NET causando una collisione hash.

E' possibile che un utente malintenzionato invii un piccolo numero di messaggi appositamente predisposto a un server ASP.NET, causando  la degradazione in modo significativa delle prestazioni sufficienti a causare una condizione di negazione del servizio DDos", ha osservato. L'aggiornamento verrà reso disponibile per tutte le versioni di Windows, incluso Windows XP Service Pack 3, Windows Server 2008 e Windows 7 per sistemi a 64 bit.

A tutti gli utenti del sistema operativo Windows si consiglia di installare l'aggiornamento al più presto appena verrà rilasciato per evitare spiacevoli incidenti. Per ora non ci sono ulteriori dettagli sul problema che riguarda Windows 7 64-bit, ma a giudicare da quello che Microsoft ha rivelato, è improbabile che qualcosa verrà fornita a breve. Michael Kranawetter non ha fornito altri dettagli ed ha detto che le indagini sono ancora in corso.

Anonymous, pubblicate e-mail e password di 90.000 militari USA

Lunedi scorso, gli hacker associati ad Anonymous AntiSec, hanno pubblicato 90.000 indirizzi email e gli hash delle password appartenenti al personale militare che sarebbero stati rubati da un serveer di Booz Allen Hamilton, società americana si occupa di fornire servizi web a diverse istituzioni USA, tra cui anche alcuni corpi militari come Socom, US Centcom, Dipartimento della Difesa, US Navy, Air Force, Dipartimento della Sicurezza Interna.

"Booz Allen Hamilton ha confermato che la perdita di alcuni file di dati su Internet è stato il risultato di un attacco illegale", ha detto la società in una dichiarazione pubblicata sul suo sito web. "Stiamo conducendo una completa valutazione della natura e della portata dell'attacco.

A questo punto, non crediamo che l'attacco sia esteso oltre i dati relativi a un sistema di gestione di apprendimento per un ente governativo", ha osservato. "E 'importante definire la nostra comprensione preliminare dei fatti. Siamo in contatto con i nostri clienti e analizziamo la natura di questo attacco e i file di dati interessati", ha aggiunto la società di consulenza.

Anche se Booz Allen sostiene che la violazione è limitata solo ad un sistema di gestione dell'apprendimento, Anonymous sostiene di aver ottenuto anche 4 GB di codice sorgente e le credenziali di accesso di altri che consentirebbero di indirizzare ad altre agenzie governative. Una società malese di sviluppo web chiamata Dazzlepod ha preso gli indirizzi email trapelate e li ha resi disponibili in un elenco ricercabile.

Questo può essere utilizzato per determinare facilmente il personale militare colpito, ma può anche servire come strumento di spear phishing che cerca di indirizzare a un reparto particolare. Anonymous ha promesso perdite ancora più grandi che riguardano la comunità dell'intelligence americana nei prossimi giorni, come parte dei suoi sforzi per esporre un comportamento non etico da parte del governo e dei suoi appaltatori.

Foto: Fotopedia

Mozilla rende pubblici per errore 44 mila ID utente e relative password

Mozilla, lo sviluppatore di popolari applicazioni open source come Firefox e Thunderbird, ha annunciato che un database contenente i nomi utente e gli hash delle password appartenenti a utenti dell'addons.mozilla.org è stato reso pubblico per caso. Se avete creato un account su addons.mozilla.org e voi siete uno dei 44.000 utenti che potrebbero essere stati colpiti da questa rivelazione accidentale, dovreste aver ricevuto una email di notifica da parte del team di sicurezza di Mozilla.

Mozilla ha memorizzato le password prima del 9 Aprile 2009 come hash MD5 (Message Digest algorithm 5). Mentre l'algoritmo MD5 può essere utilizzato per memorizzare le password in modo sicuro, non è chiaro come l'MD5 sia stato utilizzato dall'infrastruttura di Mozilla.

Mozilla ha controllato i propri registri e ha stabilito che l'unica persona al di fuori di Mozilla che ha avuto accesso al contenuto è stata la persona che ha rivelato la pubblicazione accidentale attraverso il programma web che permette ai volontari di segnalare bug relativi alla sicurezza. I funzionari della sicurezza di Mozilla sono stati informati della esposizione il 17 dicembre. La Fondazione ha inviato una notifica dell'esposizione via e-mail a tutti i titolari di account il 27 dicembre scorso.

Mozilla ha cancellato i via precauzionale le password di tutti i 44.000 account che sono stati memorizzati in formato MD5 dal sito addons indipendentemente dal fatto che siano stati esposti o meno. Le password appena create non saranno vulnerabili da una simile rivelazione, infatti, dal 9 aprile 2009 Mozilla ha utilizzato la crittografia SHA-512 per memorizzare gli hash delle password di ogni utente, perchè considerata più sicura.

Via: Naked Security