Facebook призналась в хранении паролей «сотен миллионов» пользователей в незашифрованном виде Статьи редакции
Из-за внутренней ошибки сотрудники могли просматривать пароли в виде текста.
Facebook годами хранила пароли «сотен миллионов» своих пользователей в незашифрованном виде, доступном сотрудникам соцсети в виде текста. Об этом рассказал журналист Брайан Кребс, специализирующийся на кибербезопасности. Facebook подтвердила эту информацию в своём блоге.
В ходе проверки безопасности в январе мы обнаружили, что пароли некоторых пользователей хранятся в текстовом формате в наших внутренних системах хранения данных. Хотя наши системы авторизации должны маскировать пароли, используя методы, которые делают их нечитаемыми.
Мы исправили эту проблему, а в качестве мер предосторожности предупредим всех, чьи пароли мы нашли в открытом виде.
Источник в Facebook рассказал Кребсу, что инцидент затронул от 200 млн до 600 млн пользователей. По словам собеседника журналиста, в ходе расследования компания обнаружила архивы с незашифрованными паролями начиная с 2012 года. Доступ к ним был примерно у 20 тысяч сотрудников соцсети.
Вице-президент Facebook подчеркнул, что компания не нашла признаков использования паролей за пределами соцсети и следов несанкционированного доступа к учётным записям пользователей.
По оценке Facebook, уведомления о незащищённом хранении паролей получат «сотни миллионов» пользователей Facebook Lite, «десятки миллионов» пользователей Facebook и «десятки тысяч» пользователей Instagram.
Пользователи, которые беспокоятся за безопасность своей учётной записи, могут поменять пароли в Facebook и Instagram, а также включить двухфакторную аутентификацию или вход по дополнительному ключу безопасности.
Короче очередное доказательство того, что не боги горшки лепили. Везде все работает одинаково и везде одни и те же люди.
И да, напоминание о том, что нельзя верить в сказки про то, что "ваши данные обезличены", "сотрудники не имеют доступа", "данные зашифрованы" и прочую ложь.
Ну, как сказать, я сейчас работаю над сервисом, в которой сотрудники на самом деле не имеют доступа, данные зашифрованы и до сервера доходят в уже зашифрованном виде, так что то, что на уровне мегакорпораций творится бардак еще совсем не значит, что так везде
У вас пароль для расшифровки пароля чтоли? Если вы банально хешируете пасс и передаете его, то грош цена такому методу. Все фигня кроме трехфакторной авторизации.
Банально хешировать это про фейсбук, есть AES-256, есть RSA, правильно скомбинировав их получается безопасное хранилище данных, которое вскрывается только мастер-ключом
У вас мастер ключ на клиенте храниться? Это предположение исходя из "данные зашифрованы и до сервера доходят в уже зашифрованном виде".
Верно. То, что клиент может быть точно так же скомпрометирован это и так понятно, 100% безопасности никто не даст, но можно гарантировать хотя бы то, что если вы сами свой девайс не подвергнете опасности, с нашей стороны до ваших паролей никто не доберется даже если очень захочет
Ну это какое то перекладывание ответственности. Почему не трехфакторка?
И трехфакторка тоже есть. Просто трёхфакторка это звено, а сколько бы ты аутентификаторов, usb-токенов и отпечатков пальцев не поставил на вход, если кто-то кроме тебя может расшифровать данные - грош цена такой защите. Больше скажу, мастер ключ даже на клиенте не хранится, мастер-ключом расшифровываются зашифрованные данные в локальном хранилище и всё, он даже не хранится нигде
| мастер ключ даже на клиенте не хранится, мастер-ключом расшифровываются зашифрованные данные в локальном хранилище
Понятно. Пользователь слабым паролем "пароль" шифрует мастер-ключ, которым шифруются данные в локальном хранилище, и передаёт "запароленный" ключ вам.
Хорошо, что вы не храните у себя и пользовательские данные.
| предположим, что эти данные действительно попадают кому попало, что дальше?
Дальше тот, кому попало, берёт словарь и расшифровывает стыренный из открытой базы мастер-ключ. Теперь товарищ "из органов" спокойно расшифровывает им локальную базу, вытащенную с телефона "подозреваемого". Не защитили вы человечка получается, разве только себя.
Вы, конечно, можете возразить, что пароль надо иметь длинный. Но зачем тогда вся эта "мутотень" из цепочки перекодирования, пусть человек сразу помнит мастер-ключ.
PS. Даже, если человек не использует пароль, а вы сами шифруете мастер-ключ для хранения его на сервере, то доступ к устройству нивелирует это. Это даже хуже слабого пароля. Получается "грош цена такой защите". При том, что если все эти удобства выкинуть, то расшифровать данные кроме вас ни у кого не получится.
Не так. Есть массив данных и есть мастер ключ, которым нужно зашифровать этот массив.
Сначала генерируются (без привязки к мастер паролю) два ключа - приватный и публичный. Приватный расшифровывает данные, публичным - шифруем.
Нужный объем данных шифруется публичным ключом, дальше приватный ключ нужно безопасно передать на сервер для проверки доступа, для этого он (приватный ключ) всё там же на клиенте шифруется хешированной версией мастер ключа и передается на сервер.
Поэтому просто взять алфавит и перебрать не получится, 256 битный хеш мастер ключа будет перебираться сотни лет. Чтобы получить доступ к паролю нужно получить доступ непосредственно к устройству, на котором уже введен мастер-пароль
Выше же в PS я сразу описал эту схему "улучшенной защиты".
Так доступ к устройству вообще любую защиту нивелирует. И это
"о расшифровать данные кроме вас ни у кого не получится" тоже неправда.
Даже у нас расшифровать не получится, потому что ключ для шифрованного мастер пароля мы не знаем
Если так рассуждать, то чтобы тебя не взломали - всё в памяти нужно хранить, в нее проникать пока не научились)
| Так доступ к устройству вообще любую защиту нивелирует.
Нет. Если на устройстве нет ничего кроме зашифрованного контейнера, то ничего вы с ним не сделаете.
Так и есть. На сервере хранится копия этого контейнера на случай, если пользователь захочет зайти с нового устройства, вся остальная магия происходит на устройстве.
Я думал речь идёт о кейлоггерах всяких и прочем параллельном доступе :)