【搜狐IT消息】北京時間6月11日消息，據《紐約時報》報道，LinkedIn是一家數據公司，但它沒有保護好自己的數據。
上周，黑客攻破網站，竊取600萬用戶密碼，這些密碼保護不周。密碼被公布在俄羅斯黑客論壇上，人人可以看見。LinkedIn被攻擊并非所有人都吃了一驚。每天，企業電腦系統都要受到攻擊。實際上，CBS音樂網Lastfm.com和約會網站eHarmony上周也受到攻擊，數百萬密碼被偷。
LinkedIn漫不經心
讓客戶和安全專家吃驚的是，以收集大量數據并靠它盈利的企業，數據保護方式如何之簡單。泄露事件使得人們開始懷疑LinkedIn的電腦安全。盡管入侵不斷增加，但一些擁有客戶數據的企業仍然繼續在自有電腦安全上下賭注。
舊金山電腦安全公司CryptographyResearch克歇爾(PaulKocher)說：“如果它們請教那些知道密碼安全一切詳情的人，這事就不會發生。”
之所以造成這樣的問題，部分原因在于漫不經心的數據保護態度，因為造成嚴重后果十分罕見。沒有法律上的罰款。客戶很少流失。以LinkedIn為例，在泄露之后它的股價實際上上漲了。
真正讓大家擔心的問題在于LinkedIn不是一家創業公司，也不是一家對數據不熟悉的企業。去年5月，它成功IPO，它擁有大量現金，它招聘高級人才，而且盈利。它有1.6億會員，這些人分享自己的企業關系，希望建立一個更寬廣更有效的網絡。他們希望自己的網絡受到保護。
Buzzmedia專業音樂家、產品經理史密斯（CraigRobertSmith）說：“我希望LinkedIn做得更好些。但我沒有刪除帳號，因為它是一個與被招募、網絡有關的網站。”目前尚不清楚黑客如何攻入系統的，也不知道它們在系統中呆了多長時間。LinkedIn沒有設置首席安全官，讓他監督泄露事件。公司的運營資深副總裁大衛·亨特（DavidHenke）兼管安全問題，還有其它職責。
黑客一秒測試一百萬密碼
如果按A級至F級來評價，最高級為A級，專家說LinkedIn、eHarmony和Lastfm.com最多可以拿D級。對待用戶密碼，公司最大意的地方在于將它以純文本形式存儲。RockYou在2009年時被竊取300萬用戶密碼，就是屬于這種失誤。為了保護密碼，最基本的一部保護措施就是進行基本加密，也就是所謂的“散列法”，用一種數學算法對密碼進行掩飾，然后用編碼進行存儲。
不過，黑客通過自動工具，能在一秒測試一百萬密碼。它們可以破解散列密碼，一般是利用所謂的字典、敏感在線通用密碼數據庫破解。一些網站包涵外文子表，甚至是宗教式的密碼（比如天使angel，神God，這些在破解的LinkedIn密碼中排在前15位）。還有一些黑客使用“彩虹表(rainbowtables)”來破解，上面例有幾乎所有數字字母字符組合哈希值表。一些網站會公布500億哈希值。
為了防止黑客破解，一些公司會采用一系列的隨機數，將它們添加在每個哈希值后，也就是所謂的“salting”，這種技術可以隨機顛倒私有密鑰的數字，它只需要幾行代碼，幾乎沒有任何成本。
安全專家稱，對密碼進行salting是安全手冊第一條，但LinkedIn、eHarmony和Lastfm.com都沒有這樣做。在A+級安全級別中，會設置散列密碼、擁有復雜的暗號功能，進行salting，再將結果轉成散列密碼，將授權證書另外存放，確保服務器不能被黑客攻入。
克歇爾說：“這不是什么復雜的事。”
后果
在泄露之后，Linked一位高管維森特·圣卡塔林納（VicenteSilveira）在博客中說，公司已經將一般性密碼無效化，并說會員會受益于增強的安全措施，這些措施包括將密碼散列化，并對目前的密碼數據庫進行salting。LinkedIn新聞發言人沒有透露何時對密碼進行散列化、salting化，也沒有解釋為何不在一開始就使用。
表面來看，安全性一般的LinkedIn帳號泄露不會有會大的惡果。但是黑客深知用戶的心態，他們會在許多網站用相同的密碼，他們會在郵箱、銀行、企業、傭金帳戶上使用同一密碼，這樣一來，黑客可以盜取個人和金融數據。
以LinkedIn為例，黑客貼出640萬散列密碼，讓其它人協助破解。到周四，大約60%的密碼已經被破解。克歇爾估計最終95%會破解。
在博文中，LinkedIn指出與密碼相關的用戶名沒有被展示出來，但安全專家稱，這可能只是因為發布的網站將用戶名自己留下來。
格羅斯曼(JeremiahGrossman)說：“你沒有將王冠上的珍珠給別人，是為了讓別人爭奪。”
升級安全一次性成本幾百萬美元
黑客的動機十分明顯。但讓安全專家真正感覺神秘的是為什么泄露會不斷發生。格羅斯曼估計，對于像LinkedIn這樣的公司來說，設立合適的密碼、網絡服務器、應用安全，一次性成本大約幾百萬美元。而據賽門鐵克的研究指出，一宗泄露平均成本550萬美元，也就是第條記錄泄露成本194美元。
格羅斯曼展示了兩張表。一張是飛機每英里失事機率，現在已經掉到只有1945年時的千分之一，主要得益于1958年美國聯邦航空管理局（FederalAviationAdministration）建立、并制定了更安全更嚴格的安全協定。還有一張表是電腦新安全威脅表，它的結果完全相反。自從2002年以來，新威脅增長了1萬倍。
克歇克及其它安全專家認為，問題在于缺少責任。電腦安全是不規則的，敏感的個人、企業、財務信息每天不斷上傳，企業不斷跳過基本保護。如果美國明天有5%的飛機要出事，就會有調查、有訴訟、會削減航線、航空股也會重挫。但在社交網絡，克歇爾說：“人們的投票沒有跟上腳步。”
自從周三泄露被公布以來，LinkedIn沒有透露有多少用戶退出服務，盡管黑客不斷在努力破解密碼，公司的股價到周末時仍上漲了4%。
格羅斯曼說：“每次墜機FAA就會調查，數據也會不斷披露。至于泄露就沒有這回事。沒有政府機構管。我們不知道哪里起火了，也不知道火是怎么來的。”（水聲）
推薦閱讀
今年4月，太平洋直購網在河南等地被查處;5月底，福建百分百返利網崩盤，辦公總部遭會員聚眾哄搶;6月份，溫州百業聯盟崩盤;上周五，福建萬商購物宣告倒閉，老板自首返利網站吸金風波不斷，受到外界越來越多的質疑。 這>>>詳細閱讀
本文標題：揭秘網站密碼保護：黑客一秒測試百萬條密碼
地址：http://www.tjyalang.cn/a/11/20120611/66845.html
網友點評
精彩導讀
科技快報
品牌展示