Commentaires sur : Analyse du piratage des 6,5 millions de comptes de LinkedIn

Par : pti-seb

pti-seb — Sun, 10 Jun 2012 12:57:22 +0000

@NimaX : j'ai mal compté, je corrige. Sinon pour le problème d'affichage des commentaires, c'est le plugin de cache du site qui doit faire des sienne...

Par : SMed79

SMed79 — Sun, 10 Jun 2012 09:39:47 +0000

@Djerfy > j'ai tester avec: linkedin, azerty,123123, 123456, 654321, password ... (en trouve toujour des utilisateur qui ne prenant pas au sérieux les mots de pass :/

Un gestionnaire de MDP : http://keepass.info/

conseil pour obtenir le mot de passe parfait : http://xkcd.com/936/

Par : Djerfy

Djerfy — Sun, 10 Jun 2012 09:04:08 +0000

@SMed79 > A vérifier quand même si ce site est vraiment sécurisé et vrai... Sinon rien de mieux pour accélerer le processus

Imaginer que cette page soit fausse, c'est vous même qui dites que tel password = tel hash... Alors ?

Par : SMed79

SMed79 — Sun, 10 Jun 2012 09:01:05 +0000

vérifier si votre mot de passe est dans la liste : https://lastpass.com/linkedin/

Par : NimaX

NimaX — Sun, 10 Jun 2012 08:05:05 +0000

Bonjour,
@Seb, merci pour cet article. J'aimerais te signaler un problème technique (peut être) sur ton site. Lorsque je suis sur la page index, sur cet article, il affiche 3 commentaires seulement alors qu'il y en a beaucoup plus.

Ensuite lorsqu'on regarde le résultat de
$ head -n 5 combo_not.txt
000000a94d47b9ca82c58a3b092a50263b40f66e
000000a9876203148923f97c6f1a0635472e1e38
000000a9bf60e7f17fcac444a54791af780743a3
000000a97e734e7ed9766d1ce08ebc68d3e93ab2
000000a9b4b1b3497aac51e212ac9efdb00e7f4e

$ tail -n 5 combo_not.txt
000000a9e3c4a47ef783d462ef21317ce01b9264
000000a98f954c31b650dda48b6b3a4d5dc98b5e
000000a9d898684732caa690f8869e4f525f17a2
000000a91fa0b607e0dbdc34452a1215ac27d760
000000a906f329bbd9d545b25556ed44aebe81e6

Je vois une série de 6 zéros, non pas 5, merci de m'expliquer si je me trompe.

Par : brigade de repression des inexactitudes

brigade de repression des inexactitudes — Sat, 09 Jun 2012 18:36:43 +0000

@pti-seb : il me semble que mon message a été mal compris. Bien sûr que le hacker doit posséder les logins. Je veux juste souligner que, contrairement à ce qui est répété plusieurs fois dans cet article, ce ne sont pas 6,5 millions de comptes qui ont été piratés mais certainement beaucoup plus. La seule chose qu'on sait c'est que le pirate a publié 6,5 millions de mots de passes (hashés) différents. Si l'on tient compte du nombre considérable de gens qui utilisent les mêmes mots de passes de base ("0000", "1234", "john", "password", "linkedin", "secret", etc.), il n'y a aucune chance pour qu'en piratant 6 millions de comptes le pirate se soit retrouvé avec 6 millions de hash différents (puisqu'il n'y a pas de grain de sel). Le titre est trompeur et bien en dessous de la réalité. Je suis prêt à parier que le nombre de comptes piratés est au moins le double du chiffre annoncé.

Par : Djerfy

Djerfy — Sat, 09 Jun 2012 13:32:18 +0000

@pti-seb > Grand chance ? Je dirai même plus que c'est sur C'est simplement qu'il ne fournis pas tout et qu'il garde le reste pour lui. Comme le détails de l'injection SQL faite ...

Et un script qui génère un dictionnaire de plusieurs Giga avec fonction de brute force en hash c'est facilement réalisable... Reste juste la puissance de calcul du PC quoi

Par : pti-seb

pti-seb — Sat, 09 Jun 2012 13:07:29 +0000

@sl33k : @brigades : quand tu exploite une faille de type injection SQL, tu as accès à tous les champs de la base de données. Donc si il y a eu extraction des mot de passe, il y a de grande chance que le pirate ai eu accès au login correspondant.

@sl33k : pour les hashs qui n'ont pas de 0000, c'est un grand mystère...

@felow : oui, avec un hash, on peut difficilement l'inverser et il faut faire de la brute force. Si les mots de passes utilisés ne sont pas complexe et comporte que quelques caractères, cela devient assez simple de les cracker.

Par : sl33k

sl33k — Sat, 09 Jun 2012 12:54:32 +0000

il n'y à pas des "0000" dans tout les hash.

Par : Djerfy

Djerfy — Sat, 09 Jun 2012 12:45:03 +0000

C'est assez rapide ce faire un dico multi caractères sous Linux. Ensuite faire un hash sur le password afin de faire une comparaison.
Il est quand même à rappeler qu'un hash n'est PAS un cryptage

@sl33k > C'est sans doute volontaire, comme les "00000" avant les hashs.

En tout cas, c'est une belle réussite