در حاشیه هک شدن « فیسنما »
فیسنما را بی‌شک می‌شناسید. فیسنما پربازدیدترین شبکه اجتماعی داخلی است و مطابق رتبه‌بندی الکسا در رده دهم قرار دارد.
هیچ سایت و شبکه اجتماعی، حتی مشهورترین آنها نمی‌تواند صد در صد به امنیت خود مطمئن باشد و متأسفانه دیروز خبر بدی در مورد فیسنما شنیدیم:
یک هکر، یک فایل حاوی بخش زیادی از بانک داده فیسنما را برای دانلود در اینترنت قرار داد و البته تأکید که به زودی اطلاعات بیشتری را هم منتشر خواهد کرد.
این امر سؤالات زیادی را برانگیخت، اینکه برای مثال مسئولان فیسنما تا به حال چه تمهیدات امنیتی را پیشبینی کرده بودند و چرا اطلاعات کاربران بدون کدگذاری به شکل ابتدایی ذخیره شده بودند.
«یک پزشک» آمادگی دارد که پاسخ مسئولان فیسنما را منتشر نماید.
اما نکته دیگری هم در حاشیه این هک برجسته بود:
اینکه هنوز کاربران ایرانی از گذرواژه‌ها یا پسوردهای خیلی ابتدایی و قابل حدس استفاده میکنند.
در شرایطی که بسیاری از کاربرای فرنگی، برای ورود به حساب‌های کاربری خود از سیستم ورود دو مرحله‌ای و پسوردهای مطمئن استفاده میکنند، متأسفانه مشاهده میکنیم که هزاران کاربران -تنها در سایت فیسنما- از پسوردهای ساده استفاده میکردند. و البته ما نگرانیم که این افراد از پسورد کاملا مشابه برای ورود به سایر سایت‌ها و حتی دسترسی آنلاین به حساب‌های مالی و بانکی خود هم بهره برده باشند.
نگاهی کوتاه به برخی از گذرواژه‌های تکراری:
کاربرانی که عضو این سایت بوده‌اند و از پسورد تکراری برای عضویت در سایت‌های دیگر استفاده می‌کرده‌اند، باید هر چه زودتر پسوردهای خود را عوض کنند و چه بهتر که این بار، از پسوردهای متفاوت و دارای کاراکترهای حرفی، عددی و علایم دیگر به صورت ترکیبی استفاده کنند.
با تشکر از امیر مسکنی
ممنون از شما بابت انتشار این مطلب
—
متاسفانه خیلی از پروفایل ها در خطر هستند، من خودم برای امتحان دیروز چندتا از رمزها رو استفاده کردم و خب فیس بوک دوستان هم راحت باز می شد…
از همه جالبتر اینه که نوشتن در طول بروز رسالی کلیک پاپ ها محاسبه می شود!
پسووردها بدون رمز شدن ذخیره شده بودند؟ مگه ممکنه؟ اینکه خیانته! ما با کیا طرفیم!
پسورد های هش md5 شده بودنن اما بدون سالت – هش بدون سالت تنها سر سوزنی امن تر از خود تکست خالی پسورد هاست
نحوه هک پسوردی که سالت نشده هم اینطوریه که همون brute force معمولی رو یه مرحله دیگه ( 1 خط کد ) بهش اضافه میکنی که قبل از چک کردن پسورد اول اونو هش کنه و بعد هش رو مقایسه کنه
خیلی راحته مخصوصا اگه پسورد های ساده یا قابل حدس باشه
هیچوقت نتونستم خودمو راضی کنم که در شبکه های داخلی عضو بشم. چون می دونستم که از نظر امنیتی قابل اعتماد نیستند.
پسوردها رو هم با یک هش ساده MD5 بدون هیچگونه Salt ای نگهداری میکردند. بدتر اینکه وقتی خودم امتحان کردم دیدم خیلی از کاربران از پسورد یکسان برای ایمیل و فیسبوک استفاده کرده بودند.
به نظرم، این اتفاق فقط و فقط یه چیز رو به ما میگه:
لطفا، یه هکر یا متخصص امنیت استخدام کنین، و بهش پول بدین که سیستم هاتون رو چک کنه و باگ هاش رو بهتون بگه…
مردم کلی هزینه میکنن و وقت میذارن و فسفر می‌سوزونن که هکر بشن، واسه چی؟ واسه اینکه بیان مشکلات سیستم های شما صاحبان سیستم و شبکه و سایت و …. رو بگن بهتون و درستشون کنن…بابتش هم قطعا پول در بیارن….
این یه شغله….
من به جناب هکر تبریک و خسته نباشید میگم! :))) امیدوارم مسئله‌‌ی امنیت شبکه جدی تر گرفته بشه و کم کم سایت هایی که به خودشون اجازه میدن ایمیل و یا مشخصات شخصی ملت رو بگیرن، کمی مسئولانه تر برخورد کنن…
تو دنیای واقعی اعتماد میکنیم به شخص یا اشخاصی اخر تو زرد از اب در میاد با وجود برخورد حقیقی با شخص
چه جور باید اعتماد بر دنیای مجازی کرد نمیدونم…
بازم احسنت بر اون چند تا جوان متخصص ک یه سایت ایرانس رو تا این حد بالا بردند…
هک و هکری چیز خیلی خاصی نیست…خوده سایت یاهو از ترس اینکه هک بشن اگر رمز ایمیل رو چند بار پشت سر هم اشتباه بزنی ایدی رو بلوکه میکنند…
“فیسنما را بی‌شک می‌شناسید.”
تا شناختن چه باشد، تا دو روز پیش اسمش هم یه گوشم نخورده بود.
اما هدف از نوشتن این کامنت چیز دیگری است. می دانم شما دنبال این هستید که 1پزشک را تبدیل به یک رسانه ی بزرگتر کنید، اما به طرز عجیبی متوجه شدم چند روزی است سایت را باز می کنم، نگاهی می اندازم و می روم. بوی مطلب سازی به شدت به مشام می رسد و این فقط به دلیل ناپختگی و اشتباه های فراوان نویسندگان تازه نیست….
از MD5 برای رمز نگاری استفاده کرده بودند که در اصل ام دی 5 یک روز رمز نگاری نیست بلکه یک هش فانکشن است که برای رمز نگاری استفاده می شود که با این سایت خیلی هاشون رو می شه فهمید!:
http://md5cracker.org/
یعنی عملا یکی تو کل فیسنما نبوده که این مطلب ساده رو بدونه یعنی امنیتش صفر بوده !
یک چیز دیگر هم این است که خیلی از ایمیل های اون فایل وجود خارجی ندارند یعنی اینکه فیسنما چک نمی کرده و اعتبار سنجی ایمیلی نداشته !
بهتره جهت سو استفاده اسمه سایتی آورده نشه لطفا پاک کنین لینکو
با همه بدی این خبر, نکته جالبش اینه که آدم به خودش امیدوار می شه! که می شه یک کار بزرگ راه انداخت 🙂
وقتی مدیران سونی از کلمات عبور ساده استفاده می کنند از کاربران عای چ انتظاری هست و دوم اینکه کی می تونی انبوه کلمات عبور رو به خاطر بسپاره.
جالب تر از همه اینکه چن تا از ایمیلها رو که چک کردم با همون پسورد تونستم تعدادیشون رو وارد بشم !
اینجا ضعف رمز نگاری md5 معلوم میشه.این متد رمز نگاری مزیت مهمش سرعت بالاش هست اما متاسفانه یک عیب بزرگ داره.برای مثال اگر رمزنگاری رمز عبور 123456 بشه 1AhP3eRO این الگو همیشگی هست.یعنی 123456 رو این متد همیشه با این الگو رمز نگاری میکنه و این یعنی ضربه ای سنگین به امنیت یک سایت.بنابراین بهتره یکم متد های رمزنگاریمون رو عوض کنیم و آمار جداول رنگین کمان رو در مورد متد رمزنگاریمون بررسی کنیم.
خودتان دارید به بقیه اشکال می گیرید در حالی که خودتان دارید اشتباه می گویید !
MD5 یک تابع ریاضی برای هش کردن است نه رمز نگاری! که هیچ ربطی به رمز نگاری نداره!
در الگوریتم های رمز نگاری که الگوریتم های بسیار پیشرفته ای هستند از توابع هش در بعضی جاهایش استفده می شود ولی خود توابع هش ربطی به رمز نگاری ندارد!
تابع هش دقیقا مثل سوراخ یک قفل می مونه ! حالا فرض کن شما با اون سوراخ قفل بخوای در خانه ات را قفل کنی و امن کنی بدون اینکه پشت اون سوراخ قفلی باشه و همین طور شما کلید هم نداشته باشه !
سپاس از توجه شما.
بنده اشتباهم رو قبول دارم و از دوستان هم عذر خواهی میکنم بابت آگاهی اشتباه.آقا فرهاد از توجه شما هم ممنونم.
یاد گرفتیم.حرف شما کاملا منطقی و درسته.
فیسنما دیگه چیه 😀
از نظر من سایتی که حتی در انتخاب اسم هیچگونه خلاقیتی به خرج نداده کلا هرجی بهش نیس 🙂
من که اصلا ناراحت نشدم. از بس که تبلیغات پاپ اپ فسی نما تو اعصابه. هر لینکی رو کلیک کنی 4 تا پاپ اپ باز میشه یکیش فیس نماست
قسمت رمزهای هش شدشو پاک کنید ممنون میشم واسه ما دردسر نشه
دوست عزیز سایت فیس نما هک شده، یک یا چند یوزر هک نشدن،که شما گیر دادید به این مساله،کل سایت هک شده،بازدید کننده هاتو احمق فرض کردی؟
شبکه وزین فیس نما غیر وزین شد !!!
خخخخخ
آقا خودمونیماااا این وسط هم خیلی سوء استفاده میکنن و عقده خالی میکنن
من همین الاً توی سایتش رفتم و زده بود 7854 تا آنلاین http://facenama.com/
عضو شدم و رفتم دیدم تا واقعاً کاربرهای زیادی داره
*** در ضمن چنتا پست هم دیدم که چند هزار لایک خورده بود مبنی بر حمایت از فیس نما که کاربراش زده بود
خودتون خوب میدونید که مسئله هک همه جا هست پس خودمونیما دنبال سفسطه سازی و تخریب نباشید
برای پسوردها هم مثل اینکه 117 هزار تایی که لو رفته بود رو باید فراموشی رمز عبور بزنن که به ایمیلشون بره و بقیه هم به ناچار پسورد عوض کنن
در مورد هک هم هزاران هزار سایت هستند که هک میشن اعم از خود یاهو و گوگل و واتساپ و وایبر و فیس بوک و …
اینجا نگاه کنید روزانه میبینید که چند هزارتا ثبت میکنن
http://upload7.ir/preview.php?user=&file=d3a66450d3ee35f3b47750942fee0c754597b9db.png
به امید خدا که سایت فیس نما هم روز به روز بیشتر پیشرفت کنه
یا حق
هک شدن کل سایت چه ارتباطی به پسورد ساده کاربران داره؟