piwik no script img

Klage gegen Linkedin wegen PasswortklauEin Hash so alt wie das Web

Eine Linkedin-Nutzerin klagt gegen das Business-Netzwerk, von dem kürzlich Tausende Zugangsdaten geklaut wurden. Ihr Vorwurf: Das Netzwerk habe die Passwörter nicht ausreichend geschützt.

Nutzerdaten eingeben und hoffen, dass sie nicht geklaut werden. Bild: reuters

SAN JOSE/BERLIN dpa | Zwei Wochen nach dem Einbruch unbekannter Täter in eine Datenbank von Linkedin sieht sich das Business-Netzwerk mit einer Millionenklage konfrontiert. Eine Linkedin-Nutzerin aus dem US-Staat Illinois reichte bei der Justiz der kalifornischen Stadt San Jose eine Sammelklage im Namen weiterer Mitglieder ein, die Linkedin vorwirft, mit einer veralteten Sicherungstechnik persönliche Daten gefährdet und die Nutzer nach dem Diebstahl zu spät informiert zu haben. Der Streitwert wird mit mehr als fünf Millionen Dollar beziffert.

Die im Internet aufgetauchten Passwörter waren mit einer sogenannten Hash-Funktion unkenntlich gemacht. Dabei handelt es sich jedoch nicht um eine echte Verschlüsselung, so dass die Informationen mit etwas Aufwand sichtbar gemacht werden können.

Die Klägerin wirft Linkedin vor, die Daten einem veralteten Hash-Algorithmus unterzogen zu haben, dem Format SHA1, das bereits 1995 entwickelt worden sei. Das Unternehmen habe es versäumt, die Passwörter zuvor „gesalzen“, das heißt mit Zufallswerten ergänzt zu haben, um die Rückübersetzung in Klartext zu erschweren. Damit habe Linkedin „die Integrität von sensiblen Daten der Nutzer erheblichen Risiken ausgesetzt“, heißt es in der Klage.

Linkedin betonte am Mittwoch in einer Stellungnahme, nach dem Datendiebstahl sei es in keinem einzigen Fall zu Störungen von Nutzerprofilen gekommen. Die Klage sei daher offenbar „von Anwälten vorangetrieben worden, die die Situation ausnutzen wollen“. Die Vorwürfe seien gegenstandslos, und Linkedin werde sich entschieden dagegen zur Wehr setzen.

Das Online-Netzwerk hat mehr als 150 Millionen Mitglieder. Anders als etwa beim meist privat genutzten Facebook dienen die Profile bei Linkedin der Pflege geschäftlicher Kontakte oder der Suche nach einem neuen Arbeitsplatz. Das Ausmaß des Datendiebstahls ist unklar. Laut Medienberichten sollen auf einer russischen Webseite nahezu 6,5 Millionen „gehashte“ Passwörter aufgetaucht sein.

taz lesen kann jede:r

Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen

Mehr zum Thema

2 Kommentare

 / 
  • HL
    Hauke Laging

    Gegen SHA-1 ist zunächst mal kaum etwas zu sagen. Fast die gesamte Kryptografie (X.509 (SSL/TLS), OpenPGP) basiert darauf. Keinen salt zu verwenden war in der Tat inkompetent. Andererseits muss man auch mal sagen: Das Problem sind zum größten Teil die Leute, die Bello15 für ein Passwort halten (und es wegen seiner Großartigkeit auch noch überall verwenden). So was rettet keine noch so ausgefeilte Hashfunktion. Wenn man ein Passwort braucht, nimmt man so was: fOOeqCcJ4U6Gya20. Und das merkt sich dann der Browser. So was knackt kein Angreifer. Nicht bei SHA-1, nicht mal bei MD5.

     

    Aber die eigene Bequemlichkeit geht ja über alles. Ich wünsche mir, dass die Klägerin in dem Verfahren ihr "Passwort" offenlegen muss. Und wenn das dann zu den grottenschlechten gehört, die unter quasi allen Umständen leicht zu knacken sind, dann wird sie ausgelacht und aus dem Gerichtssaal geworfen.

  • A
    AuchMalExperte

    Auf diesen Ausgang bin ich ja mal gespannt.

     

    Ein paar Anmerkungen:

     

    1.) "SHA1 so alt wie das Web": SHA1 ist immernoch weit verbreitet und NICHT unsicher. Angriffsmethoden sind zwar inzwischen gefunden, aber noch weit davon entfernt den Algorithmus als unsicher abzustempeln (im Gegensatz zu z.B. MD4). LinkedIn hat sich hier nichts vorzuwerfen!

     

    2.) "Hash ohne Salt = Unsicher": Das ist falsch. Wenn der Salt aus Zufallszahlen besteht, muss er ebenfalls öffentlich sein. Dann hilft er gegen Wörterbuch-Anfriffe exakt gar nichts.

     

    Die "geknackten" Passwörter von LinkedIn bestanden höchstwahrscheinlich allesamt aus "test123" oder "Name es Haustieres" und konnten daher einfacher durchprobiert werden (hier kommt das einzige Problem von SHA1 zum tragen: Er ist vergleichsweise schnell zu berechnen).

     

    Lesenswert:

    http://codahale.com/how-to-safely-store-a-password/