アシュリーマディソンパスワード復号化

1か月前、Ashley Madisonの不正サイトユーザーのパスワードハッシュは3,600万を超えていました。 たとえば、 このトレントからデータベースをダウンロードできます（ゲートを介して暗闇で2番目と3番目もダンプします）。



パスワードはbcryptハッシュ関数によって処理されます。 一見、このような保護は比較的信頼できるようです。 しかし、ハッカーグループCynoSure Primeの専門家は、ブルートフォースを愚かに暗号化するのではなく、アシュリーマディソンのバックエンドおよびフロントエンドのソースコードを掘り下げることに決めました（ソースコードは上記のトレントで入手可能です）。 彼らはハッシュアルゴリズムを直接研究しました。



ソースを検索すると結果が得られました。 判明したように、ハッシュ自体はbcryptで暗号化されていましたが、MD5を使用した2つの安全でない方法を使用して$loginkey



変数を作成しました。 したがって、ハッカーは、インターネット全体で現在行われているブルートフォースbcryptハッシュを直接行う代わりに、ブルートフォースの弱いトークンmd5(lc($username).”::”.lc($pass))



およびmd5(lc($username).”::”.lc($pass).”:”.lc($email).”:73@^bhhs&#@&^@8@*$”)



。



amlib_member_create.function.php



ファイルのコード（69、70行目）から、ユーザー名とパスワードの$loginkey



MD5ハッシュによって$loginkey



変数が生成されることが明らかになりました。 2012年6月14日にコードを変更する前は、MD5をハッキングするだけですべてのハッシュを開くことができます。



同様に、コードAccountProvider.php



規定されている$loginkey



を生成する別の方法がAccountProvider.php



ます。



ハッカーグループは復号化されたパスワードを投稿しませんでしたが、 公開された手順に従って、誰でも自分でパスワードを取得できます。



CynoSure Primeは後にAshley Madisonのパスワードに関する興味深い統計を明らかにしました。



まず、最も人気のある上位100個のパスワードと、それぞれの出現回数を示します。









もっと面白い。 分析の結果 、630,000を超えるパスワードがユーザー名と一致することがわかりました 。 つまり、ハッシュアルゴリズムの弱点を利用しなくても、これらのパスワードは簡単に回復できます。



そして、ここに最も興味深いパスワードがあります。 人気のトップ100のリストには含まれていませんが、一部のユーザーの面白い考え方を示しています。 リストはただの楽しみのためです。



彼らは、いくつかの単語を追加するとパスワードがより安全になると考えています。

mypasswordispassword

スーパーハードパスワード

thebestpasswordever

thisisagoodpassword



彼らは姦通のためにサイトに登録する決定を疑います

これをしてはいけない

イヒンキ

これは間違っている

whatthehellamidoing

なぜこれをやっているの

詐欺師

donteventhinkaboutit

これは本当に起こっている



ためらいなし

本当にカンニングする

ちょうどチェック

これを試してみる

いいやつ



出会い系サイトから不正行為のサイトを混同しました

探している

friendswithbenefits



ハッカーのプロ意識を疑う

あなたは決して見つけることはありません

あなたはこれを得ることはありません

secretissafewithme



xkcdコミックのパスワード （https://xkcd.com/936/）

バッテリーホース

正しい馬バッテリーステープル



誰かがハッカーの活動を予見し、隠したい

見つからない

彼らは

誰もいない



その他のジョーク

すべての名前

allthegoodpasswordshavegone

lickemlikeshelikesit

lildickinyourpussyn0w

なめらかな

ブラックフロムザウエストダウン

小さいディック