Bekijk Volledige Versie : Twitter brute-force gehacked?
Mijn Twitter account is vannacht "overgenomen", gelukkig niet zo heel spannend.. Zo actief gebruik ik het niet ;)
Wachtwoord bevat in dit geval (nergens anders gebruikt) alleen maar getallen.
Ik sta niet in de "vrijgegeven" Twitter account lijsten die ik heb kunnen vinden op pastebin (en die code komt ook niet terug als je erop zoekt).
Oftewel, of er is veel meer van Twitter gekraakt dan ze willen toegeven of er is een brute force mogelijkheid in de API waardoor je theorie de 9 getallen die gebruikte kan "raden".
Aangezien het om spammetjes ging sluit ik een gerichte attack eigenlijk uit.
Oftewel... iedereen ;-) Wachtwoord aanpassen bij Twitter.. en zeker geen wachtwoord gebruiken wat je op andere plekken ook gebruikt.
alleen getallen? dus in theorie 10^9 mogelijkheden. Met wat intelligente brute force scriptjes (sla sowieso de eerste 00000001,2,3,etc maar over.. idem voor 111111,22222, geen dubbele getallen, etc) ben je er dan al heel snel...
M.i. is een wachtwoord puur uit cijfers een zeer zwak wachtwoord.
alleen getallen? dus in theorie 10^9 mogelijkheden. Met wat intelligente brute force scriptjes (sla sowieso de eerste 00000001,2,3,etc maar over.. idem voor 111111,22222, geen dubbele getallen, etc) ben je er dan al heel snel...
M.i. is een wachtwoord puur uit cijfers een zeer zwak wachtwoord.
Even een beetje rekenen...
10^9 seconden zijn 11574 dagen .
Om 10^9 pogingen te doen, moet je er dus zo'n 11,500 per seconde doen om in één dag klaar te zijn.
De "domme" password dingen die je wilt uitsluiten zijn totaal verwaarloosbaar in aantal. (als je 11,000 hebt om over te slaan, zou dat bij deze snelheid 1 seconde schelen).
Nu weet ik niet wat voor API twitter heeft voor authenticatie, maar het moet wel een heel bijzondere zijn wil het je lukken om over het netwerk er 11K per seconde pogingen (een dag lang) doorheen te duwen. En dat voor één account.
Kun je er 'maar' 1100 per seconde doen, dan is het elf dagen werk.
Een API bewust schrijven om over het netwerk dit soort aantal transacties te behandelen is al echt werk, en bij een password systeem is 'rate limiting' het eerste waar je aan hoort te denken.
Als je _off line_ mag brute forcen (je hebt een hash, en een dikke cpu , gpu kaart etc) dan is 10^9 een klein getal, maar on-line is het brute forcen van 9 getallen echt niet simpel.
Als je _off line_ mag brute forcen (je hebt een hash, en een dikke cpu , gpu kaart etc) dan is 10^9 een klein getal, maar on-line is het brute forcen van 9 getallen echt niet simpel.
En daar heb je helemaal gelijk in, ik ben totaal over het online verhaaltje heengestapt..
dreamhost_nl
09/06/12, 14:38
Ik zou voor de zekerheid iedere computer waarmee je verbinding hebt gemaakt met je Twitter account maar eerst 'ns scannen op malware. Ik denk eerder aan het doorspelen van je wachtwoord door malware dan aan het hacken van je wachtwoord (tenzij je hiermee onzorgvuldig bent omgesprongen uiteraard).
Kijk ook even naar de applications (https://twitter.com/settings/applications) die toegang tot je twitter account hebben. Als zo'n applicatie gehacked is, heeft men via deze poort toegang tot je twitter account.
En wat dacht je hiervan?
10297
En wat dacht je hiervan?
10297
xkcd is goed, en inderdaad, mee eens.
Zie ook : http://world.std.com/~reinhold/diceware.html
Dan is er (zoals de cartoon ook hint) alleen een massa van 'best practice' in richtlijnen, input validatie scripts, en net-niet-experts die denk dat zonder leestekens en Rar3 CAps! een password nooit sterk kan zijn.
Het is wel een vereiste om voldoende lange passphrases te kunnen invoeren, want om 80+ bits entropie in tien tot zestien karakters kwijt te kunnen krijg je inderdaad strings die nauwelijks te onthouden zijn.