News Adobe-Hack betrifft bis zu 150 Millionen Kunden

[Retaliator_75]

Habe auch von Adobe KEINE Warnung bekommen, bin natürlich trotzdem Betroffen...

 

[nik22]

Bin in der DB.

Jetzt haben irgendwelchen bösen Scriptkidz mein Trash-Account-Passwort. Das feier ich irgendwie.

 

[ToniMacaroni]

Meine eMail wurde auch gefunden. Wüsste aber nicht, dass ich mich jemals irgendwo bei Adobe registriert habe. Und nu?

Edit: Habe mich versucht bei adobe.com einzuloggen, tatsächlich habe ich da einen Account. Aber geändert habe ich nichts. Ohne Änderung bleibt es gesperrt, meinetwegen.

 

[Daaron]

two step
z.b. erst login mit Passwort, dann ein zweites Login mit z.b. Tan, z.b. wie bei paypal

Schön dass du PayPal erwähnst.
Installier auf einem Smartphone mal die PP-App und versuch dich einzuloggen. Nix ist mit 2-Step, die Apps verwenden nur Mail+PW.

Nein, 2-Step ist auch kein Weg. Der korrekte Weg wäre ein OAuth-System, bei dem User sich an EINER einzigen Stelle zertifizieren müssen (per 2-Step), und sonst nirgendwo.

 

[Silencium]

Ich hab wirklich eine Zeit lang überlegt das neue Photoshop mit Lightroom zu nutzen und dafür zu bezahlen. Jetzt, im Nachhinein, bin ich froh denen keine Informationen über meine Kreditkarte gegeben zu haben. Das mit den PW ist schlimm genug. Die sollten dafür jedem aktiven Kunden, der von ihnen ein Produkt gekauft hat, entschädigen! Die Produkte sind schweineteuer und dann so ein Service? Ich finde das wie bei Vodafone und Sony eine Frechheit. Sony hat zwar ein paar kostenlose Spiele gegeben, aber Vodafone und Adobe werden komplett darauf verzichten. Ich habe bei Vodafone bereits gekündigt und Adobe hat mein Vertrauen auch missbraucht und mich als Kunden verloren. Wenn die meinen mit der dunklen Seite "kooperieren" zu müssen, bitte. Ich hab mein Photoshop CS4 und Lightroom 2.0 - komme ich halt damit aus. Passt schon. Aber Geld sehen die von mir nicht noch einmal!

 

[XEVOLUTION]

Ich hab wirklich eine Zeit lang überlegt das neue Photoshop mit Lightroom zu nutzen und dafür zu bezahlen. Jetzt, im Nachhinein, bin ich froh denen keine Informationen über meine Kreditkarte gegeben zu haben. Das mit den PW ist schlimm genug. Die sollten dafür jedem aktiven Kunden, der von ihnen ein Produkt gekauft hat, entschädigen! Die Produkte sind schweineteuer und dann so ein Service? Ich finde das wie bei Vodafone und Sony eine Frechheit. Sony hat zwar ein paar kostenlose Spiele gegeben, aber Vodafone und Adobe werden komplett darauf verzichten. Ich habe bei Vodafone bereits gekündigt und Adobe hat mein Vertrauen auch missbraucht und mich als Kunden verloren. Wenn die meinen mit der dunklen Seite "kooperieren" zu müssen, bitte. Ich hab mein Photoshop CS4 und Lightroom 2.0 - komme ich halt damit aus. Passt schon. Aber Geld sehen die von mir nicht noch einmal!

Und wie so oft...
wird es sie wohl kaum eher gar nicht interessieren das ein Kunde weg ist.

 

[Daaron]

Das Schöne ist ja, dass solche Hacks jedes Mal an Peinlichkeit kaum zu überbieten scheinen... und trotzdem schaffens die gehackten Betreiber jedes Mal, alles bisher Dagewesene an Inkompetenz in den Schatten zu stellen.

Sony: haben sich über ne SQL Injection hacken lassen. HAAAALLOOOOO? SQL Injection? Ernsthaft? Hier im Programmierer-Forum wirst du gehäutet, wenn du in einem Beispiel-Script nicht auf Injections achtest...

Mr Spex (Brillen-Kasper): Haben Passwörter gleich mal im Klartext gespeichert. Oder waren es md5-Hashes ohne Salt? Das wäre so gut wie Klartext, dank Rainbow Tables

Und nun Adobe. Warum? Warum zum Geier sollte man Passwörter VERSCHLÜSSELN, noch dazu mit einer symmetrischen Verschlüsselung? Ich VERSCHLÜSSELE nur, was ich auch 1:1 wiederherstellen will. Passwörter will man nicht wiederherstellen. Passwörter will man lediglich VERGLEICHEN. Für Passwörter nimmt man möglichst langsame Hash-Funktionen wie bcrypt. Oder, wenn man es mit der Sicherheit nicht so genau nimmt, nimmt man wenigstens md5 oder sha1 mit Salt & Pepper... Aber symmetrische Verschlüsselung? Wozu? Wollten da die Manager unbedingt einen Weg, die Passwörter selbst auslesen zu können?

 

[can320]

Aber symmetrische Verschlüsselung? Wozu? Wollten da die Manager unbedingt einen Weg, die Passwörter selbst auslesen zu können?

Sie konnten halt in die Zukunft sehen und wussten, dass sich ein paar Kiddies in Internetforen drüber aufregen würden.

Man kann zusätzlich verschlüsseln, wenns schon gehashed + gewürzt wurde....

 

[PropHunt]

Das Schöne ist ja, dass solche Hacks jedes Mal an Peinlichkeit kaum zu überbieten scheinen... und trotzdem schaffens die gehackten Betreiber jedes Mal, alles bisher Dagewesene an Inkompetenz in den Schatten zu stellen.

Sony: haben sich über ne SQL Injection hacken lassen. HAAAALLOOOOO? SQL Injection? Ernsthaft? Hier im Programmierer-Forum wirst du gehäutet, wenn du in einem Beispiel-Script nicht auf Injections achtest...

Mr Spex (Brillen-Kasper): Haben Passwörter gleich mal im Klartext gespeichert. Oder waren es md5-Hashes ohne Salt? Das wäre so gut wie Klartext, dank Rainbow Tables

Und nun Adobe. Warum? Warum zum Geier sollte man Passwörter VERSCHLÜSSELN, noch dazu mit einer symmetrischen Verschlüsselung? Ich VERSCHLÜSSELE nur, was ich auch 1:1 wiederherstellen will. Passwörter will man nicht wiederherstellen. Passwörter will man lediglich VERGLEICHEN. Für Passwörter nimmt man möglichst langsame Hash-Funktionen wie bcrypt. Oder, wenn man es mit der Sicherheit nicht so genau nimmt, nimmt man wenigstens md5 oder sha1 mit Salt & Pepper... Aber symmetrische Verschlüsselung? Wozu? Wollten da die Manager unbedingt einen Weg, die Passwörter selbst auslesen zu können?

Ich denke, dass neben Dummheit auch die NSA da was mitzureden hat.

 

[Sysworker]

alles klar,

ihr habt jetzt alle auf dieser Webseite eure Accounts verifiziert und ihr vertraut der Seite ?

 

[Daaron]

Sie konnten halt in die Zukunft sehen und wussten, dass sich ein paar Kiddies in Internetforen drüber aufregen würden.

Ich vermute stark, dass ich n Ticken älter bin als du. Außerdem muss ich mich beruflich mit der Datensicherheit unserer Systeme durchaus herumschlagen, auch was Passwort-Hashing angeht. Nix mti Kiddie, hm?

Man kann zusätzlich verschlüsseln, wenns schon gehashed + gewürzt wurde....

Wozu? Es bringt keinen Vorteil. Es erhöht die Sicherheit des PWs nicht. Es kostet noch nicht einmal ernsthaft zusätzliche Rechenzeit.
Schlag mit der bcrypt-Keule zu, dreh dabei den Kostenfaktor schön hoch, fertig ist die sichere PW-Lagerung.... oder mach es gleich wie z.B. Blizzard und verwendet SRP.

Ich denke, dass neben Dummheit auch die NSA da was mitzureden hat.

Möglich... wenn die schon vor Jahren angefangen haben, gezielt Daten abzugrasen, wäre das die ideale Anlaufstelle.

Alles in Allem ein Grund mehr, die Adobe-Bloatware zu meiden wie der Teufel das Weihwasser.

 

[Lemon with Ice]

Na super. Warum versucht man das immer unter den Teppich zu kehren. Kein Wunder das mein e-mail Postfach überfüllt ist.

 

[PropHunt]

[...]Möglich... wenn die schon vor Jahren angefangen haben, gezielt Daten abzugrasen, wäre das die ideale Anlaufstelle.

Alles in Allem ein Grund mehr, die Adobe-Bloatware zu meiden wie der Teufel das Weihwasser.

Appropos: Welchen EMail-Service darf ich jetzt benutzen? Meinen Yahoo-Account sicher nicht mehr.

 

[Nightmare25]

ihr habt jetzt alle auf dieser Webseite eure Accounts verifiziert und ihr vertraut der Seite ?

Dachte ich mir auch grade, jetzt springen alle hektisch im Kreis und checken mal eben ihre Email dort ab. Hmmm, ich glaube diese Art der "machbaren" Verdummbeutelung muss ich mir merken für den nächsten großen Coup

 

[nobodo]

Wo liegt eigentlich der Unterschied zwischen 2,9 Millionen und 150 Millionen Kundendaten? Im Ergebnis ist das doch das Gleiche.

Ich wurde von Adobe darüber in Kenntnis gesetzt, dass ein Hacker-Angriff vorlag und ich mein Passwort ändern sollte. Richtig "wichtig" ist dieses Thema doch in erster Linie für die Personen, die Produkte über eine Kredit-Karte erworben haben. Der Rest kann geklärt werden.

Wie doof ist aber die Menschheit? Ich habe tatsächlich eben auf den Link von Lastpass geklickt, ohne mich vorher im Internet schlau zu machen, wer das eigentlich ist. Nur weil CB einen Link einstellt, sollte die Sache nicht sicher sein. So schnell kann es allerdings passieren, auch wenn ich ziemlich viel vertrauen in CB habe.

Wichtig: Über diesen Link ist bei mir nichts passiert! Es geht hierbei einfach nur um ein Beispiel im eigenen Forum, wie schnell etwas schief gehen könnte..... Danke

Na ja, ich wusste ja schon vorher, dass ich in der gewissen Datei vorhanden bin. Hab eben erst mal erneut das Passwort geändert. Allerdings nicht über Lastpass, auch wenn die Seite sicher sein sollte.

Ne Mail von Lastpass habe ich eben auch bekommen, allerdings nicht mein Ding.

 

[netfinder]

Wenn ich das Adobekonto eh nicht nutze, reicht es doch, es zu sperren und aus, oder?

 

[Sebbi]

leider nicht @ netfinder

ihr habt jetzt alle auf dieser Webseite eure Accounts verifiziert und ihr vertraut der Seite ?

Die Datenbank ist schon echt, 2 SpamACCs wurde nicht gefunden, der 3. (leider ein doch benutzter) schon. Sind aber alles auch Aliase Email Adressen gewesen, die zur geheimen Hauptemail weiterleiten.

Zudem bekommt man noch eine Email, das jemand versucht hat, das PW da zu Prüfen, auch mit dem Hinweis auf den PW Hint bei Adobe.

Adobe Password Hint Breach Notification

Hi,

You are receiving this email because a human (hopefully you) entered your address on https://lastpass.com/adobe to confirm that your Adobe account credentials were leaked, and requested that your Adobe password hint be emailed to you.


To obtain your Adobe password hint, click here.


We strongly advise you to follow all of our recommendations here: https://lastpass.com/adobe. To get started with secure password management with LastPass, please download LastPass here

Thank you.

Danke,
Das LastPass Team

PW ist bei Adobe geändert, Hint hatte ich eh keinen

€dit

Ich wurde NICHT informiert von Adobe!

 

[DaBzzz]

Dachte ich mir auch grade, jetzt springen alle hektisch im Kreis und checken mal eben ihre Email dort ab. Hmmm, ich glaube diese Art der "machbaren" Verdummbeutelung muss ich mir merken für den nächsten großen Coup

"Sind Ihre Kreditkartendaten auch vom großen Hack bei Anbieter XY betroffen? Wir bieten Ihnen exklusiv den kostenlosen Soforttest an! Geben Sie hier [................] Ihre vollständige Kreditkartennummer und hier [...] Ihre Magic Number ein, und klicken Sie auf [Jetzt Prüfen]!"


Mmh mal nebenbei, wieviele Müllionen Raubkopierer sind auch vom Datenklau betroffen? 0?

 

[Nightmare25]

Mmh mal nebenbei, wieviele Müllionen Raubkopierer sind auch vom Datenklau betroffen?

Die haben die Emails doch bekommen

 

[Morphy2k]

Schön dass du PayPal erwähnst.
Installier auf einem Smartphone mal die PP-App und versuch dich einzuloggen. Nix ist mit 2-Step, die Apps verwenden nur Mail+PW.

Nein, 2-Step ist auch kein Weg. Der korrekte Weg wäre ein OAuth-System, bei dem User sich an EINER einzigen Stelle zertifizieren müssen (per 2-Step), und sonst nirgendwo.

Ohja, das mit der App geht mir auch auf die Eier.

OAuth ist natürlich noch besser, verwenden auch immer mehr.