The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Подтверждена утечка пользовательской базы addons.mozilla.org "
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Подтверждена утечка пользовательской базы addons.mozilla.org "  +/–
Сообщение от opennews on 28-Дек-10, 13:46 
Крис Лион (Chris Lyon), директор по безопасности в проекте Mozilla,
подтвердил (http://blog.mozilla.com/security/2010/12/27/addons-mozilla-o.../) факт утечки базы пользовательских аккаунтов каталога дополнений addons.mozilla.org, включающей идентификаторы пользователей, email и хэши от паролей. Так как в БД были представлены только хэш-функции паролей, риск для пользователей addons.mozilla.org отмечен как минимальный.


Несмотря на то, что для аутентификации в проекте используются надежные SHA-512 хэши со случайным salt-ом, скомпрометированная пользовательская база содержала дополнительно около 44 тыс. аккаунтов, в которых использовались устаревшие md5-хэши. Во избежание проникновения злоумышленников, после обнаружения утечки данные аккаунты были заблокированы, а md5-хэши обнулены. Хэши SHA-512 были введены в эксплуатацию в апреле 2009 года.


В настоящее время расследуются причины утечки пользовательской базы. По заявлению  Криса Лиона, инцидент связан только с утечкой архива базы и не затронул какие-либо части инфраструктуры Mozilla.

URL: http://blog.mozilla.com/security/2010/12/27/addons-mozilla-o.../
Новость: http://www.opennet.dev/opennews/art.shtml?num=29143

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


2. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +6 +/–
Сообщение от Гордый Аноним on 28-Дек-10, 13:47 
http://www.opennet.dev/opennews/pics_base/29136_1293461014.jpg
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от Atolstoy (ok) on 28-Дек-10, 13:47 
И ChronoPlay сломали, и в ЖЖ спамят. Традиционное рождественское хулиганство.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от Аноним (??) on 28-Дек-10, 13:58 
Пользователи с паролем 123 счастливы :-) Я как то запустил John The Ripper у себя и нашел пару сотен пользователей с таким паролем.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

26. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от анонимус (??) on 29-Дек-10, 05:23 
> Пользователи с паролем 123 счастливы

Пароль без разницы: "SHA-512 хэши со _случайным_ _salt-ом_"

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

27. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от Аноним (??) on 29-Дек-10, 11:19 
>> Пользователи с паролем 123 счастливы
> Пароль без разницы: "SHA-512 хэши со _случайным_ _salt-ом_"

Случайный salt помешает определению одинаковых паролей в базе, но никак не отразиться на процессе подбора паролей по словарю.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

6. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +6 +/–
Сообщение от тоже Аноним (ok) on 28-Дек-10, 14:21 
Благодаря этой новости я узнал, что на addons.mozilla.org можно зарегистрироваться, но так и не узнал - зачем?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от kapsh (ok) on 28-Дек-10, 14:26 
Некоторые возможности для незарегистрированных там закрыты. Скачивание экспериментальных аддонов, например.
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

10. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +1 +/–
Сообщение от Аноним (??) on 28-Дек-10, 15:06 
Это в которых нашли троянов? Не, теперь точно не буду регистрироваться. Береженого бог бережет.
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

29. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от Crazy Alex email(??) on 29-Дек-10, 16:46 
Это для которых нет 3-х отзывов пользователей, или как-то так. В общем, совсем уж экзотика или новьё, как правило, в экспериментальных сидит
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

9. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +1 +/–
Сообщение от TiGR email on 28-Дек-10, 14:37 
Например, чтобы выложить расширение. Я лично там был зарегистрирован именно поэтому.
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

13. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от ws (ok) on 28-Дек-10, 15:18 
Для меня там самая удобная фишка для зарегистрированных пользователей - создание своих колекций расширений! - Не надо каждый раз искать их, когда настраиваешь кому-то мозилу.
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

19. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  –1 +/–
Сообщение от тоже Аноним (ok) on 28-Дек-10, 16:57 
А чем ФФ с коллекцией будет отличаться от Оперы? ;)
Я, когда ставлю кому-нибудь ФФ, добавляю только AdBlock. Ну, ImgLikeOpera, если человек не на безлимите. Но чтобы коллекцию?
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

25. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +2 +/–
Сообщение от ws (ok) on 28-Дек-10, 20:50 
> А чем ФФ с коллекцией будет отличаться от Оперы? ;)
> Я, когда ставлю кому-нибудь ФФ, добавляю только AdBlock. Ну, ImgLikeOpera, если человек
> не на безлимите. Но чтобы коллекцию?

У каждого своя колекция, которая может не совпадать...

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

14. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  –4 +/–
Сообщение от Амнезинус on 28-Дек-10, 15:18 
То есть, существует вероятность, что в каком-нибудь популярном расширении, вроде adblock, внедрен троян?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +1 +/–
Сообщение от Аноним (??) on 28-Дек-10, 15:22 
Ты вообще статью читал?
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

16. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +4 +/–
Сообщение от gegMOPO4 (ok) on 28-Дек-10, 15:43 
Читал, но забыл. ;)
Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

22. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от Aquarius (ok) on 28-Дек-10, 20:05 
>> То есть, существует вероятность, что в каком-нибудь популярном расширении, вроде adblock, внедрен троян?
> Ты вообще статью читал?

вообще-то, вопрос с содержимым статьи коррелирует

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

23. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от filosofem (ok) on 28-Дек-10, 20:27 
Интересно, они не подумали, что злоумышленники могли и SSL сертификат до кучи прихватить и его следует поменять чисто паранойи ради?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

24. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от Frank email(ok) on 28-Дек-10, 20:43 
SSL сертификат в sql базе?! Да вы фокусник, гражданин! :)
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

30. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +1 +/–
Сообщение от pavlinux (ok) on 30-Дек-10, 03:43 
> SSL сертификат в sql базе?! Да вы фокусник, гражданин! :)

mysql_query(mysql, "CREATE TABLE cert (DATA BINARY(255))");

char *query = malloc(1024);

int BUFF = 1024;
int CERT_BLOCK = 255;

while ( cert_opened_file ) {

      memset(query, 0, BUFF);
      read(cert_opened_file, cert_block, BLOCK);
      sprintf(query, "INSERT INTO cert SET data = %s", cert_block);
      mysql_query(mysql, query);

      offset += BLOCK;
      lseek(cert_opened_file, BLOCK, SEEK_CUR);
}
...

как-тo так

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

31. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от filosofem (ok) on 30-Дек-10, 11:11 
Как-то так:

echo "CREATE TABLE cert(data blob);LOAD DATA LOCAL INFILE '/etc/ssl/certs/cert.crt' INTO TABLE cert  FIELDS TERMINATED BY 'somecrap' LINES TERMINATED BY '' (data);"| mysql -D userdb

Вообще я об том, что если кто-то упер базу, у него с определенной вероятностью может быть доступ куда угодно на этом сервере, поэтому заменить лучше все важные данные. Очень надеюсь, что сами аддоны на этом сервере не хостятся, иначе адблоком страшно пользоваться теперь.
И кормить троля Franka не надо имхо.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

28. "Подтверждена утечка пользовательской базы addons.mozilla.org..."  +/–
Сообщение от Filosof email(ok) on 29-Дек-10, 13:55 
теперь ждите спама с обращением по регимени из мозиллы.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру