לאחר משט המרמרה, נפרצו מס' אתרים ורשימת המשתמשים שלהם(כולל הסיסמה של כל אחד מהם) פורסמה. הבעייה הזאת נובעת מתכנון לקוי באפיון האתר.
אסביר איך זה עובד(כמו באתר הומלס ערב הפריצה):
- גולש נרשם לאתר.
- הנתונים מוזנים למסד הנתונים.
- בכל פעם שהגולש יתחבר למערכת, האתר ישווה בין הסיסמה שהוא הקיש לסיסמה שקיימת אצלו במסד הנתונים.
איך זה אמור לעבוד:
- גולש נרשם לאתר.
- המערכת מצפינה את הסיסמה(לדוגמא, ע"י md5).
- הסיסמה המוצפנת מוזנת למסד הנתונים.
- בכל פעם שהגולש יתחבר למערכת, האתר יצפין את הסיסמה שהוא הקיש וישווה לסיסמה המוצפנת שקיימת אצלו במסד הנתונים.
בימים הקרובים אני אפרסם פוסט על סכנת אבטחה שכזו במסד הנתונים של אחד האתרים הגדולים בארץ.
פינגבאק: יד2 —> סיסמאות לא מוצפנות | אבי קינן – מחשבים וכו'