Онлайн-аукцион eBay в Японии содержал в себе брешь, которая позволяла злоумышленникам получать доступ к учетным записям пользователей. Уязвимость существовала из-за того, что пароли к учетным записям создавались на основе сочетания имени пользователя и строки случайных данных, известной как соль. Однако eBay использовал статичную соль (т.е. одинаковую для всех), которая предоставляла любому пользователю, который знал о ней, возможность получить доступ к любой учетной записи. Об этом заявил румынский IT-специалист Ионут Церника (Ionut Cernica).
Солью в этом случае выступала комбинация «123456», которая в прошлом году была признана самым ненадежным паролем. «Соль была статичной для всех пользователей, - заявил Церника. Все, что нужно было сделать (ред. – злоумышленнику) – найти случайные имена пользователей».
Исследователь обнаружил брешь в eBay в прошлом месяце, а затем опубликовал соответствующее сообщение в своем блоге, а также доказательства о существовании уязвимости.
eBay Japan пока не предоставила официальных комментариев. Также неизвестно, существовала ли уязвимость в других региональных подразделениях eBay.
По словам представителя Defuse Security Тейлора Хорнби (Taylor Hornby), повторное использование соли является одной из наиболее распространенных ошибок, которые совершают системные администраторы в рамках предоставления безопасности. Такая политика неэффективна, потому что если два пользователя получат одинаковый пароль, то они автоматически будут иметь одинаковый хэш, отмечает эксперт.
«Злоумышленник сможет использовать табличную атаку для проведения атаки по словарю одновременно на каждый хэш», - заявил Хорнби.
Источник: SecurityLab
|
