Neste fim de semana, a rede Gawker foi comprometida.
Neste fim de semana, descobrimos que os servidores da Gawker Media foram comprometidos, o que resultou em uma violação de segurança no Lifehacker, Gizmodo, Gawker, Jezebel, io9, Jalopnik, Kotaku, Deadspin e Fleshbot. Se o senhor comenta em qualquer um de nossos sites, provavelmente tem várias perguntas.
Não é Domingo Negro ou Hack de firmware do modem do iPod, mas ele tem notas de versão – e a história que ele conta é tão épica quanto Beowulf:
Então, aqui estamos nós novamente com um lançamento monstruoso de ownage e queda de dados. Os ataques anteriores contra o alvo foram ridicularizados, então chegamos e elevamos um pouco o nível. Que tal isso para “crianças de script”? Seu império foi comprometido, seus servidores, seus bancos de dados, suas contas on-line e seu código-fonte foram todos despedaçados!
O senhor queria atenção, bem, adivinhe, agora o senhor a tem!
Leia as notas de lançamento. Elas explicarão como o comprometimento se desenrolou, golpe a golpe, por dentro.
A Gawker é operada por Nick Denton, notório pelos métodos “publique o que for preciso para obter tráfego”, sem remorso e muitas vezes antiéticos, endossados em sua rede. O senhor se lembra do Vazamento do iPhone 4? Esse foi o Gawker. O senhor se lembra do artigo sobre o blogueiros sendo tratados como trabalhadores de fábricas virtuais? Isso foi no Gawker. O senhor se lembra de ter ouvido falar de um processo contra um blog? Provavelmente também foi a Gawker.
Alguns podem dizer que ter todas as contas de sua rede comprometidas é exatamente o tipo de atenção publicitária indesejada em que o Gawker foi fundado.
Pessoalmente, estou mais interessado em como podemos aprender com esse hack. Onde a Gawker errou e como podemos evitar cometer esses erros no nosso projetos?
- Gawker salvou senhas. O senhor nunca deve, nunca armazene senhas de usuários. Se o senhor o fizer, o senhor está armazenando as senhas incorretamente. Sempre armazene a hash salgado da senha – nunca a própria senha! É tão fácil que até o membros da Mensa er … não consigo … entender.
- A Gawker usou a criptografia incorretamente. A estranha escolha da arcaica criptografia DES fez com que as senhas salvas fossem todas truncadas em 8 caracteres. Não importa o tamanho real de sua senha erao senhor só precisava digitar os primeiros 8 caracteres para que funcionasse. Isso não é verdade para o escolher uma frase secreta segura. A criptografia é tão eficaz quanto a pessoa que a utiliza. Também não sou inteligente o suficiente para usar criptografia, como o senhor pode ver em Por que minha criptografia não está… Encrypting?
- A Gawker pediu aos usuários que criassem um nome de usuário e uma senha em seu site. O FAQ que eles publicaram sobre a violação tem dois esclarecimentos interessantes:
2) E se eu tiver feito login usando o Facebook Connect? Minha senha foi comprometida?
Não. Nunca armazenamos senhas de usuários que fizeram login usando o Facebook Connect.3) E se eu vincular minha conta do Twitter à minha conta da Gawker Media? Minha senha do Twitter foi comprometida?
Não. Nunca armazenamos senhas do Twitter de usuários que vincularam suas contas do Twitter à conta da Gawker Media.É isso mesmo, as pessoas que usaram suas contas do carteira de motorista da internet para se autenticar nesses sites não tive nenhum problema de segurança! A necessidade de postar um comentário no Gizmodo é realmente justifica poluir o mundo com mais um nome de usuário e senha? Foram apenas os pobres usuários que decidiram confiar à Gawker um nome de usuário exclusivo e uma senha “segura” que foram comprometidos.
(Além disso, “não seja um idiota” é um bom conselho a ser seguido tanto nos negócios quanto na vida pessoal. Acho que, em geral, o senhor recebe de volta o que dá. Quando sua missão corporativa é ter sucesso explorando todos os truques quase legais existentes, certamente o senhor não se surpreende quando recebe o mesmo tratamento em troca).
Mas, honestamente, por mais que possamos apontar e rir da Gawker e culpá-la por esse desastre, não há absolutamente nada de único ou surpreendente em tudo isso. Os leitores regulares do meu blog provavelmente já devem estar entediados porque acabei de apresentar um monte de posts que escrevi há três anos. Novamente.
Aqui está a verdade suja sobre senhas de sites: a Internet está cheia de sites exatamente como a rede Gawker. Digamos que o senhor tenha o bom e velho nome de usuário e senhas tradicionais em 50 sites diferentes. São 50 programadores diferentes, todos com ideias diferentes sobre como sua senha deve ser armazenada. Espero que, para seu bem, o senhor tenha usado uma senha diferente (e extremamente segura) em cada um desses sites. Porque estatisticamente falando, o senhor está ferrado.
Em outras palavras, quanto mais sites o senhor visita, quanto mais redes o senhor toca e confia com uma combinação de nome de usuário e senha, maiores são as chances de que pelo menos uma dessas redes será comprometidas exatamente como o Gawker foie divulgar suas credenciais para o mundo ver. Nesse ponto, a menos que o senhor tenha escolhido uma senha forte e exclusiva para cada site que já visitou, a situação fica feia.
A má notícia é que a maioria dos usuários não escolhe senhas fortes. Isso foi comprovado repetidas vezese os dados do Gawker são não são diferentes. Pior ainda, a maioria dos usuários reutiliza essas senhas ruins em vários sites. É assim que a esse feio worm do Twitter apareceu de repente em um monte de contas comprometidas do Gawker.
Agora o senhor entende por que tenho sido tão agressivo na promoção do conceito do carteira de motorista da Internet? Ou seja, fazer login em um site da Web usando um conjunto de credenciais de terceiros de uma empresa em que o senhor pode realmente confiar que não seja totalmente incompetente em termos de segurança? Claro, estamos centralizando o risco aqui, digamos, no Google ou no Facebook, mas confio muito mais no Google do que no J. Random Website, e isso realmente não é diferente, na prática, de receber e-mails de recuperação de senha enviados para sua conta do GMail.
Não estou aqui para criticar o Gawker. Pelo contrário, gostaria de agradecê-los por ilustrar em alto e bom som a verdade suja sobre as senhas de sites: estamos todos melhor sem elas. Se o senhor quiser ver uma Web futura livre de comprometimentos de senhas no estilo do Gawker – pare de confiar em cada site aleatório da Internet com um nome de usuário e uma senha exclusivos! Exija que eles permitam que o senhor use sua carteira de motorista da Internet, ou seja, suas credenciais existentes do Twitter, Facebook, Google ou OpenID, para fazer login no site deles.