הסיסמאות הפרוצות של אדובי: הן נוראיות!

אחד הדברים המתסכלים באבטחת מידע הוא העובדה שלמרות שאנו אומרים שוב ושוב למשתמשים לבחור סיסמאות חזקות ומורכבות, הם לא עושים זאת. למרות הידיעה, זה עדיין מדאיג שאפילו עם העלייה בהפרות נתונים, אזהרות ותזכורות תכופות, ושפע מנהלי הסיסמאות הקיימים, מופיעות עדיין סיסמאות כמו '123456', 'iloveyou' ו'קוף '. 100 הסיסמאות הנפוצות ביותר.

בחודש שעבר חשפה אדובי כי התוקפים הגישו סיסמאות עבור משתמשי Adobe הפעילים וכן את קוד המקור למוצרים כמו Cold Fusion. התוקפים פרסמו גם קובץ המכיל כמעט 150 מיליון סיסמאות מוצפנות.

כמעט שני מיליון משתמשי אדובי היו עם "123456" כסיסמתם, מצאו את ג'רמי גוסני, מומחית אבטחה ומייסדת קבוצת הייעוץ Stricture. הוא ניתח את הרשימה וזיהה את הסיסמאות הנפוצות ביותר בסוף השבוע. הניתוח שלו כיסה כשש מיליון סיסמאות, או פחות מחמישה אחוזים מהרשימה החשופה.

"סיסמאות פופולריות אחרות כוללות '123456789, ' 'סיסמה, ' 'adobe123, ' '12345678, ' 'qwerty, ' '1234567, ' '111111, ' 'פוטושופ', '123123'", אמר גוסני.

הצפנה לא מספיק טובה

בעוד שאדובי הצפין את הסיסמאות, נראה שהחברה השתמשה במפתח הצפנה יחיד עבור כל הסיסמאות. סיסמאות מוצפנות של Adobe באמצעות 3DES, וזה טוב, אך במצב ECB (אלקטרונית קוד קוד), שהוא מנגנון פחות מאובטח. ה- ECB ידוע בזליגת מידע על המפתח שלו, כמו יצירת אותה חסימת הצופן עבור מחרוזת תווים ספציפית.

המשמעות היא שאם מישהו יכול להבין את המפתח, אז ניתן לפענח את כל הסיסמאות.

לגוסני אין את המפתח המשמש להצפנת הסיסמאות, ולכן אי אפשר לומר שהרשימה מדויקת לחלוטין. עם זאת, הוא אמר שהוא "די בטוח" ברשימה.

לא מפתיע

ראוי לציין כי לניתוח הסיסמאות שנחשפו מפריצות בעבר, כמו יאהו, גאוקר ואחרות, היו תוצאות דומות. ברור שהסיסמאות הנפוצות עקביות למדי בקרב משתמשים מקוונים. קצת משמח לקחת בחשבון שהסיסמאות הלא בטוחות הללו מהוות פחות מחמישה אחוזים. אבל שני מיליון חשבונות המשתמשים באותה סיסמה הם חדשות רעות לא משנה איך מסתכלים עליה.

הרשימה החמישית המובילה ביותר מ- Gawker, לפני שלוש שנים, כללה את '123456, ' 'סיסמא', '12345678, ' 'lifhack', ו- 'qwerty'.

מה לעשות עכשיו

אם עדיין לא שינית את סיסמת Adobe שלך, קדימה עשה זאת עכשיו וודא לבחור סיסמה חזקה וייחודית. אל תשתמש בסיסמה שקיימת ברשימה של גוסני. לאמיתו של דבר, מדוע שלא תעבור דרך 100 המובילים ותוודא שאינך משתמש באחד מהם עבור חשבון ושירות מקוון כלשהו?

אפילו טוב יותר, השתמש ברשימה זו כתמריץ למעבר סוף סוף למנהל סיסמאות, כגון LastPass או Dashlane.