アシュリーマディソンパスワード復号化

1か月前、Ashley Madisonの不正サイトユーザーのパスワードハッシュは3,600万を超えていました。 たとえば、 このトレントからデータベースをダウンロードできます（ゲートを介して暗闇で2番目と3番目もダンプします）。

パスワードはbcryptハッシュ関数によって処理されます。 一見、このような保護は比較的信頼できるようです。 しかし、ハッカーグループCynoSure Primeの専門家は、ブルートフォースを愚かに暗号化するのではなく、アシュリーマディソンのバックエンドおよびフロントエンドのソースコードを掘り下げることに決めました（ソースコードは上記のトレントで入手可能です）。 彼らはハッシュアルゴリズムを直接研究しました。

ソースを検索すると結果が得られました。 判明したように、ハッシュ自体はbcryptで暗号化されていましたが、MD5を使用した2つの安全でない方法を使用して$loginkey変数を作成しました。 したがって、ハッカーは、インターネット全体で現在行われているブルートフォースbcryptハッシュを直接行う代わりに、ブルートフォースの弱いトークンmd5(lc($username).”::”.lc($pass))およびmd5(lc($username).”::”.lc($pass).”:”.lc($email).”:73@^bhhs&#@&^@8@*$”) 。

amlib_member_create.function.phpファイルのコード（69、70行目）から、ユーザー名とパスワードの$loginkey MD5ハッシュによって$loginkey変数が生成されることが明らかになりました。 2012年6月14日にコードを変更する前は、MD5をハッキングするだけですべてのハッシュを開くことができます。

同様に、コードAccountProvider.php規定されている$loginkeyを生成する別の方法がAccountProvider.phpます。

ハッカーグループは復号化されたパスワードを投稿しませんでしたが、 公開された手順に従って、誰でも自分でパスワードを取得できます。

CynoSure Primeは後にAshley Madisonのパスワードに関する興味深い統計を明らかにしました。

まず、最も人気のある上位100個のパスワードと、それぞれの出現回数を示します。




もっと面白い。 分析の結果 、630,000を超えるパスワードがユーザー名と一致することがわかりました 。 つまり、ハッシュアルゴリズムの弱点を利用しなくても、これらのパスワードは簡単に回復できます。

そして、ここに最も興味深いパスワードがあります。 人気のトップ100のリストには含まれていませんが、一部のユーザーの面白い考え方を示しています。 リストはただの楽しみのためです。

彼らは、いくつかの単語を追加するとパスワードがより安全になると考えています。
mypasswordispassword
スーパーハードパスワード
thebestpasswordever
thisisagoodpassword

彼らは姦通のためにサイトに登録する決定を疑います
これをしてはいけない
イヒンキ
これは間違っている
whatthehellamidoing
なぜこれをやっているの
詐欺師
donteventhinkaboutit
これは本当に起こっている

ためらいなし
本当にカンニングする
ちょうどチェック
これを試してみる
いいやつ

出会い系サイトから不正行為のサイトを混同しました
探している
friendswithbenefits

ハッカーのプロ意識を疑う
あなたは決して見つけることはありません
あなたはこれを得ることはありません
secretissafewithme

xkcdコミックのパスワード （https://xkcd.com/936/）
バッテリーホース
正しい馬バッテリーステープル

誰かがハッカーの活動を予見し、隠したい
見つからない
彼らは
誰もいない

その他のジョーク
すべての名前
allthegoodpasswordshavegone
lickemlikeshelikesit
lildickinyourpussyn0w
なめらかな
ブラックフロムザウエストダウン
小さいディック