Gecodeerde wachtwoorden werden blootgesteld aan de Imperva-datalek

Soms kan een ongelukkige gebeurtenis ons ertoe aanzetten iets nieuws te leren. Leren we immers niet allemaal van fouten? Vandaag kunnen we leren van de fouten van Imperva.

Imperva is een softwarebedrijf voor cybersecurity dat is gevestigd in Redwood Shores, Californië. Dit bedrijf biedt zijn klanten bescherming voor bedrijfsgegevens. Klanten kopen internetfirewall-services van Imperva om cyberaanvallen en andere kwaadaardige cyberactiviteiten te voorkomen.

Helaas heeft Imperva aangekondigd dat het in augustus een datalek heeft ervaren en dat datalek heeft duizenden klanten getroffen. Volgens het rapport werden API-sleutels, e-mailadressen, SSL-certificaten en meerdere gecodeerde wachtwoorden blootgesteld tijdens deze inbreuk.

Er zijn meerdere aspecten om over dit datalek te bespreken, vooral wanneer we rekening houden met het feit dat een bedrijf dat te maken heeft met cybersecurity is getroffen. Deze keer geven we u echter een kort overzicht van het probleem en richten we ons vervolgens op gecodeerde wachtwoorden die ook zijn blootgesteld. Heb je je ooit afgevraagd wat een gecodeerd wachtwoord is?

Wat is er gebeurd met Imperva?

Zoals gezegd, ondervond Imperva een datalek waardoor de gegevens van zijn klanten werden blootgesteld aan hackers. Het lijkt erop dat het hele incident het gevolg was van nalatigheid omdat een intern systeem toegankelijk was via internet. Het systeem dat toegankelijk was via internet, bewaarde een kopie van de AWS API-sleutel van Imperva.

Wat is dat nou? AWS verwijst naar Amazon Web Services, een dochteronderneming van Amazon die gespecialiseerd is in het aanbieden van cloud computing-platforms. Een API-sleutel betekent een API-sleutel (Application Programming Interface). Het is een unieke identificatie waarmee het systeem een gebruiker of een programma kan verifiëren dat probeert de API te bereiken. Op zijn beurt is de API een communicatieprotocol tussen een client en een server. Het kan een systeem zijn dat is gebaseerd op een cloudplatform, besturingssysteem, hardware, enzovoort. Dus met de API Key gestolen, konden hackers van buitenaf toegang krijgen tot het systeem van Imperva.

Cybersecurity-verslaggevers geloven dat Imperva in eerste instantie niet op de hoogte was van het datalek en dat ze enkele maanden later hoorden dat de hacker een kopie van hun database-snapshot downloadde die werd gebruikt om hun Relational Database Service (RDS) op hun cloudplatform te evalueren. Wat betekent dat? Het betekent dat de hacker de gegevens kon stelen die zich in de momentopname bevonden, en de gegevens die werden gemaakt NADAT de momentopname was gemaakt, werden niet beïnvloed door de inbreuk.

Al met al heeft het bedrijf niet expliciet gezegd hoeveel klanten werden getroffen door de datalek. Meer dan 13.000 wachtwoorden en 13.000 SSL-certificaten zijn echter gewijzigd en geroteerd nadat de getroffen klanten hiervan op de hoogte zijn gebracht. Daarom is het gemakkelijk om de reikwijdte van het incident min of meer te begrijpen.

Wat is een gecodeerd wachtwoord?

Omdat we klaar zijn met het algemene overzicht van de inbreuk, kunnen we een van de soorten gegevens die zijn blootgesteld en gelekt nader bekijken. We hebben het hier over gecodeerde wachtwoorden. Als je het woord 'klauteren' hoort, denk je waarschijnlijk aan het populaire online spel of roerei, maar het is waar dat we ook onze wachtwoorden kunnen klauteren.

Wachtwoordversleuteling is een van de manieren om ze veilig op te slaan en sterker te maken. Cyclonis Password Manager gebruikt bijvoorbeeld ook wachtwoordversleuteling om de wachtwoorden van zijn klanten in de kluis op te slaan. In het geval van de wachtwoordbeheerder maakt het gebruik van codering om opgeslagen wachtwoorden door elkaar te gooien. Er zijn echter andere manieren om wachtwoorden te beschermen, en de informatie over het datalek van Imperva suggereert dat de blootgestelde versleutelde wachtwoorden gehasht en gezouten zijn.

Wat betekent dat in hemelsnaam? Nou, je weet waarschijnlijk dat je iets kunt decoderen als het eenmaal is gecodeerd als je een decoderingssleutel hebt. Hashen daarentegen betekent dat de gegevens niet kunnen worden gedecodeerd nadat ze zijn gecodeerd. Ook, ongeacht het soort gegevensreeks dat u gaat hashen, de lengte van de uitvoer is altijd vast. Dat wil zeggen, of je nu gaat appelen, ik hou van appels of ik haat regen, ga alsjeblieft weg , de lengte van de uiteindelijke output zal hetzelfde zijn (als je hetzelfde algoritme gebruikt om het te hashen).

Omdat hashing niet andersom werkt, maar het door elkaar gooien van de string met hetzelfde algoritme dezelfde output produceert, kan het worden gebruikt om de toegang te controleren en te authenticeren. Als de database bijvoorbeeld gehashte wachtwoorden opslaat en iemand een wachtwoord voor platte tekst invoert om de database te openen, moet het systeem hetzelfde algoritme toepassen om het wachtwoord voor platte tekst te hashen. Als de hashwaarde overeenkomt met de waarde die is opgeslagen in de database, wordt de authenticatie verleend. Het is ook heel moeilijk om een gehasht wachtwoord te kraken, en de enige manier om het te doen is door het bruut te forceren.

Het is nog moeilijker om het te kraken als zouten wordt toegepast. In cybersecurity verwijst zout naar een willekeurige gegevenswaarde die aan een wachtwoord wordt toegevoegd. Gebruikers zien die waarde niet, maar deze wordt aan hun wachtwoorden in de computersystemen gekoppeld om een betere beveiliging te bieden. Met andere woorden, uw wachtwoorden worden niet als gewone tekst bewaard, omdat dat volledig tot vreselijke datalekken zou leiden.

Binnen het systeem wordt de zoutwaarde willekeurig gegenereerd. Het wordt toegevoegd aan het wachtwoord voor platte tekst en vervolgens wordt de hele tekenreeks meestal gehasht (zoals hierboven beschreven). Het gebruik van verschillende zoutwaarden met dezelfde wachtwoorden resulteert in totaal verschillende hashwaarden, dus als u zout (figuurlijk gesproken) op uw wachtwoorden strooit, worden ze sterker.

Hieruit kunnen we aannemen dat het stelen van gecodeerde wachtwoorden alleen lucratief kan zijn als de hacker middelen heeft om ze bruut te forceren. Natuurlijk bestaat een dergelijke mogelijkheid altijd, en daarom heeft Imperva haar klanten aangespoord om hun wachtwoord te wijzigen. Het is echter ook mogelijk om te zeggen dat het stelen van gecodeerde wachtwoorden praktisch hetzelfde is als het stelen van een kluis zonder sleutel. Het verandert niets aan het feit van de datalek, maar er is tenminste een klein beetje zilveren voering.