Hacker był w stanie złamać hasło: mAIQf0REsR3RRP43UHRx – uzyskując dostęp do portfela z kryptowalutą (~$3 000 000).

Akcję opisuje Wired, a krótką relację filmową możesz oglądnąć tutaj. Co się wydarzyło?

Zacznijmy od tego, że przecież tak długie hasło jest abolutnie niełamalne! Zgoda, przy przym błąd podczas jego generacji spowodował, że nie jest ono wcale tak losowe… Portfel został utworzony w 2013 roku, a hasło do niego zostało wygenerowane w managerze haseł RoboForm.

Jak się okazuje, stara wersja RoboForm posiadała pewien błąd, który powodował, że generowane hasła nie były wcale tak losowe jak mogło się wydawać. W szczególności tworzone hasła bazowały na aktualnym czasie 😲 – z momentu ich generowania

Właściciel zabezpieczonych Bitcoinów zgłaszając się do pewnego hackera (wreszcie adekwatne użycie określenia „hacker” :) ze zleceniem złamania hasła, nie pamiętał jednak kiedy dokładnie je wygenerował. Hacker wykonał więc bruteforce (czyli posprawdzał wszystkie możliwe hasła, które mogły być wygenerowane w pewnym przedziale czasu – który wskazał zleceniodawca). Po stosunkowo krótkim czasie udało się odkryć, że hasłem był ciąg mAIQf0REsR3RRP43UHRx

Nota bene: podobna podatność została załatana parę lat temu w managerze haseł od Kaspersky (CVE-2020-27020).

Czy zatem nie należy korzystać z managerów haseł?

✅ Zdecydowanie warto korzystać!
✅ Na obecną chwilę jako godne polecenia polecamy: 1Password, KeePass, Bitwarden; przed wyborem managera haseł warto zrobić małe rozpoznanie odnośnie wcześniejszych jego problemów z bezpieczeństwem (patrz np. LastPass)
✅ Paranoicy mogą ręcznie generować hasła (np. 5+ sklejonych ze sobą, nieoczywistych słów, >= 15 znaków) i zapisywać je w managerze
✅ No i pamiętajcie o unikalnym haśle w każdym serwisie / aplikacji, z której korzystacie

~Michał Sajdak