LinkedIn možná nebyl jedinou velkou sociální sítí, která v posledních dnech zažila únik uživatelských hesel – respektive jejich kontrolních součtů. Pokud nyní navštívíte Last.fm a máte zde vedený účet, zobrazí se vám varovná informace s doporučením, že je vhodné změnit heslo.
Tým britské hudební služby momentálně vyšetřuje, jestli k úniku skutečně došlo a kolik kontrolních součtů bylo případně zcizeno.
Je Last.fm další na řadě?
A LinkedIn? Ten se navenek tváří, jako by se skoro nic nestalo. Pokud tedy nečtete jeho blog, případně média, skoro byste se nedozvěděli, že je něco špatně – tedy pokud jste nebyli sami obětí.
Kontrolní součet je zdánlivě nahodilý sled znaků, kterému by však mělo odpovídat vždy jen jedno heslo. V databázích se tedy pro vyšší bezpečnost namísto hesel ukládají právě tyto „nesmyslné“ součty, které se při přihlašování porovnávají se skutečným heslem.
Podle bezpečnostní firmy Sophos z LinkedInu uniklo asi 5,8 milionů kontrolních součtů, přičemž 60 % z nich už ruští hackeři dokázali zpětně převést na skutečná hesla. Už dříve se také internetem šířily zvěsti, že těchto hesel skutečně zneužili a skrze poškozené účty rozesílali phishingové zprávy. V únoru LinkedIn evidoval na 150 milionů registrací, pokud tedy nakonec neunikla kompletní databáze, aktuální problém se týká nejvýše několika procent uživatelů.
Jelikož soubor s uniklými daty poletuje po internetu, k dispozici je i jednoduchý neoficiální web, kde zadáte stávající heslo, Javascript pro něj spočítá SHA-1 kontrolní součet a ten porovná s uniklou databází. Zjistí tedy, jestli bylo kompromitované i vaše heslo.
Nemusíte se ničeho obávat – kontrolní součet se spočítá na straně prohlížeče a na server se už posílá pouze on, nejedná se tedy o podvrženou stránku, která by naopak hesla sbírala ještě pro rychlejší odhalení.
Ke kauze LinkedIn doporučuji k četbě hutné vlákno komentářů u příspěvku Michala Ilicha na síti Google+.