Nvidia Foren Hack doch effektiver als gedacht

Wie PCGH schon berichtete wurde in den letzten Wochen das Nvidia Forum Opfer einer Hackeratacke:
Nvidia Opfer einer Hacker-Attacke: Forum und Developer Zone offline

Damals wurde allerdings von Nvidia behauptet die Passwort Hashes wären "gesalzen". Das würde ein knacken selbiger unter vertretbarem Rechenaufwand quasi unmöglich machen.
Nun ist ein Teil der Datenbank allerdings öffentlich zugänglich und es zeigt sich dass die Hashes alles andere als sicher sind. Viel mehr handelt es sich um bloße MD5 Werte für die es im Internet vorgefertigte Rainbowtables(eine relativ kompakte Dateistruktur um schnell den Hash zu einem Passwort nach zu schlagen) gibt. Somit sind alphanumerische Passwörter welche nicht übermäßig lang sind kaum besser geschützt als Klartext.

Tipp aus der Quelle wie man schnell nachvollziehen kann dass die Hashes ungesalzen sind

w1zzard schrieb:

if you md5 12345678 you get 25d55ad283aa400af464c76d713c07ad

search for that text in the posted data and you will find it three times

Zum Vergrößern anklicken....

Zu Deutsch: Der md5 hash von 12345678 ist 25d55ad283aa400af464c76d713c07ad. Eben den Wert findet man in den geposteten Daten mehrfach.
Quelle:
techpowerup.com

Meine Meinung:
Dass kaum eine Datenbank sicher ist wenn sich jemand wirklich Mühe gibt an sie heran zu kommen muss man heutzutage schon fast akzeptieren. Unverantwortlich ist aber eine offensichtliche Falschaussage wie die hier von Nvidia getätigte. Zwischen "die Hacker haben eine unbrauchbare Datenbank" und "die Hacker haben die Passwörter zu x-tausend Benutzernamen" besteht schließlich ein himmelweiter Unterschied. Einfach nur dafür.

Interessant. Die Frage ist doch: was will AMD mit den Daten der Nvidia-Forianer?

Auch wenns mir keiner glaubt: Ich bin froh dort nicht angemeldet zu sein

M4xw0lf schrieb:

Interessant. Die Frage ist doch: was will AMD mit den Daten der Nvidia-Forianer?

Zum Vergrößern anklicken....

Was AMD damit wollte wüsste ich auch nicht.
Allerdings sollte man die Faulheit von Internetnutzern nicht unterschätzen. Oft passt das Passwort, selbst wenn es ein recht kompliziertes ist, direkt auch für die hinterlegte Email-Adresse und von da kann man sich unter Umständen weiter ins Onlinebanking etc. arbeiten. Und spätestens dann sind die Daten aus einem "unnützen Forum" plötzlich Gold wert.

Diese Hacks nerven einfach nur, sie sind fast schon so lästig wie Spam-Mails.
Erst kürzlich musste ich wegen eines Hacks mein Mail-Account Passwort ändern.
Mir kommt es in letzter zeit so vor als würden sich solche Angriffe häufen, eine neue plage kommt auf uns zu.

ΔΣΛ;4394173 schrieb:

Erst kürzlich musste ich wegen eines Hacks mein Mail-Account Passwort ändern.

Zum Vergrößern anklicken....

Eine Brute Force Attacke als Hack zu bezeichnet ehrt den Angreifer unnötig .
Bei GMX wurden schlicht PCs dran gesetzt zu zufälligen Benutzernahmen zufällige Zeichenkombinationen als Passwörter zu versuchen. Das ist 1. Viel zu aufwendig 2.Bei jedem System mit Passwort grundsätzlich möglich. Wenn das Passwort länger als vier Zeichen ist und nicht in einem Wörterbuch steht ist man bei so einem Angriff zu 99,9999999% sicher.

Olstyle schrieb:

Eine Brute Force Attacke als Hack zu bezeichnet ehrt den Angreifer unnötig .
Bei GMX wurden schlicht PCs dran gesetzt zu zufälligen Benutzernahmen zufällige Zeichenkombinationen als Passwörter zu versuchen. Das ist 1. Viel zu aufwendig 2.Bei jedem System mit Passwort grundsätzlich möglich. Wenn das Passwort länger als vier Zeichen ist und nicht in einem Wörterbuch steht ist man bei so einem Angriff zu 99,9999999% sicher.

Zum Vergrößern anklicken....

Ich denke mal nicht, dass es bei jedem Weblogin so einfach ist. Vielleicht war das nun bei GMX so. Aber normalerweise werden Logins solcher etwas grösserer Webdiensten schon etwas besser gegen die Bruteforce-Attacke für Dummies gesichert. z.B. bei x falschen Loginversuchen wird das Konto gesperrt und eine "wieder reaktivierungs e-mail" an eine zweit E-mail des Users gesandt..

Aber du hast Recht, es ehrt den Angreifer unnötig. Zumal eine Brute-Force Attacke sehr auffällig, zeitaufwendig und deshalb auch besser Rückverfolgbar ist.

Ich persönlich glaube für AMD gäbe es interssantere Ziele bei NVIDIA zu infiltrieren anstelle des offizielen + dev Forums zu 'hacken'

Ich habe schon öfters über sogenannte Exploite gelesen. Viele Foren die gehackt werden, sind teilweise selber schuld - wenn sie nicht die aktuellste Version des jeweiligen Forum benutzen sobald Exploite für ältere Versionen veröffentlicht wurden und jeder Dummie per Copy&Paste MD5 Hashs von Passwörtern beliebiger oder aller User auslesen kann.

Olstyle schrieb:

Damals wurde allerdings von Nvidia behauptet die Passwort Hashes wären "gesalzen". Das würde ein knacken selbiger unter vertretbarem Rechenaufwand quasi unmöglich machen. Nun ist ein Teil der Datenbank allerdings öffentlich zugänglich und es zeigt sich dass die Hashes alles andere als sicher sind. Viel mehr handelt es sich um bloße MD5 Werte

Zum Vergrößern anklicken....

Die Admins gehören alle entlassen. Wer heutzutage Passwörter ohne Salt speichern lässt hat den falschen Job.

TempestX1 schrieb:

Die Admins gehören alle entlassen. Wer heutzutage Passwörter ohne Salt speichern lässt hat den falschen Job.

Zum Vergrößern anklicken....

Woher hast du diese Info.Gibt es ein Link dazu.

MATRIX KILLER schrieb:

Woher hast du diese Info.Gibt es ein Link dazu.

Zum Vergrößern anklicken....

Bevor du hier postest solltest du die User-News auch LESEN UND VERSTEHEN.

TempestX1 schrieb:

Bevor du hier postest solltest du die User-News auch LESEN UND VERSTEHEN.

Zum Vergrößern anklicken....

Das du deinen Post änderst konnte Ich nicht ahnen

ΔΣΛ;4394173 schrieb:

Diese Hacks nerven einfach nur, sie sind fast schon so lästig wie Spam-Mails.
Erst kürzlich musste ich wegen eines Hacks mein Mail-Account Passwort ändern.
Mir kommt es in letzter zeit so vor als würden sich solche Angriffe häufen, eine neue plage kommt auf uns zu.

Zum Vergrößern anklicken....

Wenn mans genau betrachtet, hat man gute 10 Jahre auf Sicherheit einfach verzichtet. Viele kleinere Foren Unternehmen stecken in diesen Bereich nicht viel hinein. Nach dem Motto, einmal das System installiert und dann rennt es ^^ - Aber dass ein HASH, salted gehört is keine Neuheit, schließt auf eine grobe Vernachlässigung des dortigen Admins

Kann mich noch an einen geilen Fall erinnern, Imobilien Gesellschaft mit 5 Clients, OS:XP. Keiner der Clients hatte einen Virenscanner, auf dem Server war ein 2 Jahre abgelaufener mcafee mit quasi null wirkung ^^ Alles war hinter einem Wald und Wiesen router Hat mich zwei Tage gekostet bis alles "Sicher" war

Edit: Bei welchen kürzlichen Fall haben die "Haxxer" eine Sql-injection benutzt? Dies hätte man auch wieder mit einer neuen SQL Version, recht eindämmen, wenn nicht gar Verhindern können ^^

razzor1984 schrieb:

Wenn mans genau betrachtet, hat man gute 10 Jahre auf Sicherheit einfach verzichtet. Viele kleinere Foren Unternehmen stecken in diesen Bereich nicht viel hinein. Nach dem Motto, einmal das System installiert und dann rennt es ^^ - Aber dass ein HASH, salted gehört is kein Neuheit, schließt auf eine grobe Vernachlässigung des dortigen Admins

Kann mich noch an einen geilen Fall erinnern, Imobilien Gesellschaft mit 5 Clients, OS:XP. Keiner der Clients hatte einen Virenscanner, auf dem Server war ein 2 Jahre abgelaufener mcafee mit quasi null wirkung ^^ Alles war hinter einem Wald und Wiesen router Hat mich zwei Tage gekostet bis alles "Sicher" war

Edit: Bei welchen kürzlichen Fall haben die "Haxxer" eine Sql-injection benutzt? Dies hätte man auch wieder mit einer neuen SQL Version, recht eindämmen, wenn nicht gar Verhindern können ^^

Zum Vergrößern anklicken....

Vor 10 Jahren war teils auch Software im Umlauf, die Passwörter im Klartext gespeichert hat.

Zu dem Fall mit der Immo-Gesell: Ich habe ähnliche Erfahrungen (privat und beruflich) ebenfalls oft gemacht - auch heute ist das keine Seltenheit.

M4xw0lf schrieb:

Interessant. Die Frage ist doch: was will AMD mit den Daten der Nvidia-Forianer?

Zum Vergrößern anklicken....

Made my day!

Gut, das ich da nicht angemeldet bin!

Man merkt doch glatt das die Ferien beginnen bzw begonnen haben und schon sind paar Seiten wieder down.

razzor1984 schrieb:

Edit: Bei welchen kürzlichen Fall haben die "Haxxer" eine Sql-injection benutzt? Dies hätte man auch wieder mit einer neuen SQL Version, recht eindämmen, wenn nicht gar Verhindern können ^^

Zum Vergrößern anklicken....

Man kann nicht jeden Schwachfug gleich updaten wie zuhause am Heimpc.
Was da ab Problemen alleine durch ein Update dazukommen kann....

evolution schrieb:

Man kann nicht jeden Schwachfug gleich updaten wie zuhause am Heimpc.
Was da ab Problemen alleine durch ein Update dazukommen kann....

Zum Vergrößern anklicken....

Man geht auf die nächste "stabel" version , nur eine SQL injection schließt auf mangelnde Sicherheit und eine fehlerhafte serverseitige implementierung.....
So eine Attacke, kann man weitgehen zb alleine mit einm Filter, der die Eingabe überprüft schon verhindern ^^
Wenn man will kommt man in faktisch jedes System, nur muss man es den "HaXXern" net noch leichter machen

Herzlichen Glückwunsch ihr ****löcher, wo kann ich jetzt bitte schön meine Probleme posten, und wer weiss wann die nächsten Treiber rauskommen?

Im Endeffekt haben die sich selber ein Ei gelegt, die haben doch sicher selber nvidia karten was für ein Schwachsinn!

Das war doch Linus Torvalds.. weil Nvidia nicht so mitspielte wie er wollte..

Linus Torvalds - Nvidia F_ck You! - YouTube