Пользователь одного из российских форумов заявил, что ему удалось взломать профессиональную социальную сеть LinkedIn и похитить данные, принадлежащие 6,5 млн пользователей. В качестве доказательства он опубликовал 6 458 020 зашифрованных паролей без указания имен пользователей, хотя они хакеру, по его утверждению, тоже известны.
В первое время после публикации существовала вероятность, что это подделка, однако несколько пользователей Twitter подтвердили, что им удалось обнаружить хеши своих реальных паролей в опубликованном списке. Пароли были зашифрованы при помощи криптографической хеш-функции SHA-1, которая используется при связи по защищенным каналам SSL и TLS. Эти каналы считаются относительно надежными, но они не располагают так называемой «защитой от дурака».
Директор по исследованиям финской компании F-Secure, специализирующейся на вопросах цифровой безопасности, Микко Хиппонен (Mikko Hypponen) подтвердил, что опубликованная база является реальной. По его предположению, для получения базы хакер использовал какой-то эксплойт в веб-интерфейсе, то есть набор команд, который при помощи известных уязвимостей обошел защиту социальной сети. Господин Хиппонен отметил также, что нет ничего ужасного в хранении хешей SHA-1. Это надежный проверенный временем алгоритм, который используется повсеместно. Однако для дополнительной защиты можно было провести вторичное хеширование, благодаря которому идентифицировать пароли не получилось бы.
В конечном итоге, администрация LinkedIn сделала через Twitter официальное заявление о том, что специалисты компании приступили к «проверке сообщений о краденных паролях». Это можно считать официальным подтверждением инцидента, отчет о котором LinkedIn предоставит в ближайшем будущем. Так или иначе, владельцам учетной записи в социальной сети рекомендуется сменить свой пароль.
