New breach: Disqus had a data breach in 2012 which exposed 17.5M accounts. 71% were already in @haveibeenpwned https://t.co/LGaAnj1hUA
— Have I Been Pwned (@haveibeenpwned) October 6, 2017
Hasła, które trafiły w niepowołane ręce, zakodowano przy użyciu przestarzałego już algorytmu SHA1. Na szczęście, przed użyciem funkcji mieszającej do haseł dodano dodatkowy ciąg znaków. tzw. “sól”. Dzięki temu przestępcy prawdopodobnie nie byli w stanie odtworzyć danych ani zalogować się w innych serwisach. Disqus umożliwia zainstalowanie na własnej stronie system komentarzy. Od lipca korzystają z niego także czytelnicy CHIP-a.
Obecnie administratorzy Disqusa korzystają ze zdecydowanie mocniejszego schematu przetwarzania haseł z użyciem BCrypta. Poza “solą”, algorytm ten używa tzw. “key stretchingu” czyli wielokrotnego kodowania danych. Dane, które trafiły do sieci należały tylko do 10 proc. obecnych użytkowników serwisu.
To kolejny internetowy usługodawca, który informuje o włamaniu. Niedawno pisaliśmy w CHIP-ie, że z portalu Yahoo w 2013 roku skradziono dane dotyczące 3 miliardów kont, czyli wszystkich ówczesnych użytkowników. Za włamaniem do Yahoo stoją prawdopodobnie rosyjskie służby bezpieczeństwa. | CHIP