码迷,mamicode.com
首页 > 其他好文 > 详细

疑似网易泄露用户密码事件浅析

时间:2015-10-19 22:34:35      阅读:235      评论:0      收藏:0      [点我收藏+]

标签:

事件概述

2015年10月19日下午,乌云漏洞报告平台宣布接到一起惊人的数据泄密报告,网易的用户数据库疑似泄露,影响到网易163/126邮箱过亿数据,泄露信息包括用户名、密码MD5值、密码密保信息MD5值、登陆IP地址以及用户生日等,解开后测试大部分邮箱依旧还可登陆。

乌云建议用户登陆reg.163.com用户中心,在风险提示处查询近一个月的异常登录记录,以及异地登陆提醒邮件。如有异常,需尽快修改密码,改密码的同时也将密码提示答案进行更新修改,同时开启邮箱的安全防护功能。

另外,对于已被破解的网易邮箱用户,或者使用了弱口令的用户,需要马上解除其邮件账号绑定的淘宝、支付宝、苹果iCloud和QQ等其他网络服务,因为目前密码与保护邮箱已经没法提供保护了。

网易随后发布声明,强烈否认发生了这一泄露事件。网易只承认部分账户受到“撞库”攻击,即用户在其他防护薄弱的网站使用了相同的密码,黑客通过这些防护薄弱网站获得了用户的密码,转而攻击了网易邮箱。

影响分析

根据乌云披露的情况,攻击者获取了用户的密码和密码找回问题答案的MD5值。MD5算法是一种基于密码学理论上的摘要算法,它会把任何明文(如用户密码)输入变换成为128bit的定长乱数。摘要算法要针对两种安全攻击行为设计,一是逆推明文;二是碰撞,即寻找一个输入,尽管它可能与原始明文不同,但是它的摘要值与原始明文的摘要值一致。安全的摘要变换在计算可行的层面上是不可逆、不可碰撞的。安全设计者基于这一特性,采用存储用户密码的摘要值这一方式,避免明文密码的存储和传输。

虽然MD5算法在碰撞方面已经不够安全,但是从MD5值逆推明文仍然是不可行的。针对应用MD5等摘要算法加密处理的密码的攻击,主要是字典攻击。攻击者针对常见的弱密码,如123456、asdfjkl;、纯数字、手机号码、生日日期、英文单词、常用人名等,计算出它们的摘要值,编成一个字典。攻击者拿到受害者的密码的摘要值后,在在字典中检索这个摘要值,一旦找到,即获得了受害者的密码。

一般说来,针对个别普通用户的字典攻击在经济上是不划算的。但是,如果获得的大量的用户密码摘要值,进行批量攻击,必然会有足够多的成功破解,其非法收益将使得这一活动有利可图并得以持续。

在这个泄露事件中,攻击者得到了密码和找回问题答案的MD5值。根据我们前面对MD5算法加密保护密码的特点分析,攻击者将能够破解所有使用弱密码的用户账户。由于用户邮箱往往被其他服务用于密码找回,对于这样的账户,陷落的邮箱会被用来找回重置其他网络服务的密码,使得这些服务全部处于账户失控的严重风险之中。使用了复杂字符组合的强密码及找回问题,将能够抗住试图获得密码的字典攻击。但是泄露的摘要值终究是一个安全隐患,及时修改密码是明智的做法。

小结

事件再一次提醒广大互联网用户,必须使用强密码(口令);邮箱、支付宝、网银、QQ、微信等重要的账户,不同的账户要使用彼此无关的密码。

疑似网易泄露用户密码事件浅析

标签:

原文地址:http://www.cnblogs.com/kodefun/p/4893125.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!