浅谈HASH算法与CSDN密码泄漏事件

发布时间:2011-12-22 00:02    发布者:1046235000
关键词: CSDN密码泄漏事件 , HASH算法
新闻来源:原创
在CSDN密码泄漏事件中,网友评论提到密码的明文保存和MD5保存问题。目前,很多站点都用MD5算法保存密码,但对于HASH(哈希)算法的认识还存在很多误区,很有必要重新认识。
一、HASH算法不是加密算法
HASH算法是一种消息摘要算法,不是一种加密算法,但由于其单向运算,具有一定的不可逆性,成为加密算法中的一个构成部分,完整的加密机制不能仅依赖HASH算法。

二、HASH算法的碰撞现象
HASH算法可以理解为将任意的信息经过提炼后,成为一个定长的字符串。世界上的信息数量为无穷大,所以定长的字符串不可能表达所有的摘要,因此存在所谓的“碰撞”,即2个同样的信息源摘要是一样的。 2004年山东大学王晓云提出有关快速查找“碰撞对”的算法,引起安全界对于HASH算法的极大关注,NIST提出到2010年不再使用MD5和SHA-1。目前仍可使用的HASH算法包括:SHA-256,SHA-512,SHA-224,SHA-384。2011年2月FIPS180-4草案还增加了SHA-512/224,SHA-512/256。这些算法都是SHA-2系列算法,SHA3-256算法也即将到来。关于碰撞必须还要说的是,有几率找到碰撞对,但并不意味着HASH算法整体被否定,例如将合同文本整体HASH并数字签名,如果找到碰撞对,很难还原成一个正常的文本,如果是一堆乱码,没有人会认可此文件,在不篡改HASH的前提下无法有实际意义的修改合同。

三、HASH的破解与社会工程学
HASH算法本身为单向性,很难直接破解,现有的破解都是将常用字符计算HASH值后反向比较。例如密码123456,假设MD5值为1ab9744e58acee3ed8f03508cbf82bf5,那么数据库中查到MD5值即知道了密码。通过社会工程学的应用,大量常用密码已可直接破解。

四、合理使用HASH算法
1. 废除旧算法,至少使用SHA-256,64位操作系统SHA-512运算速度更佳,建议选用
2. 合理加点“SALT”,即干扰字符串。例如:SALT1=C`3/$xUM,5ltL4pze;avf9#kgmET^ SALT2=1qYIs,vOSfn%UHhm5+3TX:#iety0d 计算HASH SHA-512(SALT1+用户名+SALT2+密码) 那么社会工程学和目前的暴力运算是无法解决的
3. 不要以为联合使用HASH算法会安全。例如MD5+SHA1,或者SHA1(MD5)嵌套,有文献证实都是无效的。

最后希望程序员们能多看文献,跟上国际安全标准,尽可能避免安全事件的发生的影响。


@分析CSDN泄漏数据信息的一些数据

CSDN这次数据泄漏,同时也给了我们一些有趣的分析数据。
我们可以轻松地统计挨踢人士的邮箱使用情况,以及通常的密码长度等信息:
大家通常最关心密码
来看看大家最经常使用的密码是什么吧
2145330497973833.jpg

大家最使用的密码长度不如所料,是8位左右
csdn不限制密码长度的吗?(不像挨踢网站的风格啊)

21453511823054333.jpg

身为一个IT人士或爱好者,大家的安全意思还是挺强的,密码最常见的是在8位到14位之间,一般来说是很安全的,当然不排除某些网站使用明文-_-#

最后一个有趣的数据是国内的邮箱使用情况

21453721613538675.jpg

排在第一的竟然是qq.com
是大家出于无所谓呢,还是临时用一下的?不过不可否认,这几年qq邮箱做得还可以。


@@致CSDN会员的公开道歉信

尊敬的CSDN会员:
我们非常抱歉,近日发生了CSDN用户数据库泄露事件,您的用户密码可能被公开。我们恳切地请您修改CSDN相关密码,如果您在其他网站也使用同一密码。请一定同时修改相关网站的密码。

目前CSDN已向公安机关正式报案,公安机关也正在调查相关线索。
再次向您致以深深的歉意!
关于CSDN网站用户帐号被泄露的声明:
CSDN网站早期使用过明文密码,使用明文是因为和一个第三方chat程序整合验证带来的,后来的程序员始终未对此进行处理。一直到2009年4月当时的程序员修改了密码保存方式,改成了加密密码。
但部分老的明文密码未被清理,2010年8月底,对帐号数据库全部明文密码进行了清理。2011年元旦我们升级改造了CSDN帐号管理功能,使用了强加密算法,帐号数据库从Windows
Server上的SQL Server迁移到了Linux平台的MySQL数据库,解决了CSDN帐号的各种安全性问题。
一、CSDN帐号数据库是明文保存密码吗?
2009年4月之前是明文,2009年4月之后是加密的,但部分明文密码未清理;2010年8月底清理掉了所有明文密码。所以从2010年9月开始全部都是安全的,9月之前的有可能不安全。
二、我的CSDN帐号是安全的吗?需要修改密码吗?
1、如果你是2009年4月以前注册的帐号,且2010年9月之后没有修改过密码,请立即修改密码;
2、如果你是2009年4月以后注册的帐号,且2010年9月之后没有修改过密码,建议修改密码;
3、如果你是2010年9月以后注册的帐号,不必修改密码,但邮箱有泄露可能性;
4、如果你是2011年1月以后注册的帐号,帐号,密码和邮箱都非常安全;
三、CSDN帐号数据库现在是安全的吗?
历史遗留的安全隐患从2011年元旦起已经全部解决。CSDN帐号数据库已经迁移到了Linux平台上的MySQL数据库,进行了多方面的安全加固,密码加密强度也很高。
四、CSDN老的帐号数据库是怎么泄露的?
目前泄露出来的CSDN明文帐号数据是2010年9月之前的数据,其中绝大部分是2009年4月之前的数据。因此可以判断出来的泄露时间是在2010年9月之前。泄露原因正在调查中。
五、如果我的CSDN帐号已经被盗怎么办?
1、使用忘记密码功能,系统会重置密码,将新密码发到你的注册邮箱
2、给管理员发邮件,请管理员帮助找回帐号
六、我们将采取什么措施弥补此次问题?
1、我们将针对2010年9月之前的注册用户,提示修改密码,并提示用户把其他网站相同的密码也尽快修改。
2、我们将针对所有弱密码用户进行提示,要求用户修改密码,并提示用户把其他网站相同的密码也尽快修改。
3、我们将对2010年9月之前所有注册用户群发Email提示用户修改密码,并提示用户把其他网站相同的密码也尽快修改。
4、我们将临时关闭CSDN用户登录,针对网络上面泄露出来的帐号数据库进行验证,凡是没有修改过密码的泄露帐号,全部重置密码。


@@@[图]黑客公开网站数据库 600余万用户资料泄露

有网友爆料称,今天有黑客在网上公开了知名网站CSDN的用户数据库,这是一次严重的暴库泄密事件,涉及到的账户总量高达600万个,我们部分同事确实也在泄漏的库里发现了自己的帐号。又到了修改密码的时候了:


15140601977531354.jpg
本文地址:https://www.eechina.com/thread-84348-1-1.html     【打印本页】

本站部分文章为转载或网友发布,目的在于传递和分享信息,并不代表本网赞同其观点和对其真实性负责;文章版权归原作者及原出处所有,如涉及作品内容、版权和其它问题,我们将根据著作权人的要求,第一时间更正或删除。
1046235000 发表于 2011-12-22 00:15:34
CSDN数据库被爆 统计CSDN用户都喜欢哪些密码:

http://www.cnbeta.com/articles/166527.htm
fliger 发表于 2011-12-24 23:16:00
我也下载到了。
您需要登录后才可以发表评论 登录 | 立即注册

厂商推荐

关于我们  -  服务条款  -  使用指南  -  站点地图  -  友情链接  -  联系我们
电子工程网 © 版权所有   京ICP备16069177号 | 京公网安备11010502021702
快速回复 返回顶部 返回列表