News Instagram: DSGVO-Tool verriet Nutzerpasswörter im Klartext

[Cool Master]

Na weil es ne .ru mail Adresse war, ist doch logisch.

 

[MrMorgan]

Genau

 

[Prinzenrolle_]

Sind die Daten irgendwo? Ich hab mein Kennwort bei Instagram vergessen und eine E-Mail hinterlegt, welche nicht mehr existiert und ich möchte unbedingt mein Instagram löschen... Das wäre perfekt, wenn ich da mein Kennwort finden könnte.

 

[q3fuba]

Wer legt denn heute noch Passwörter im Klartext ab?

Keiner, deswegen braucht man ein "Tool" zum decrypten dieser.

 

[Cool Master]

Das ist kein Tool sondern ein Algorithmus. Ich denke mal Instagram setzt da auf bcrypt mit hash. Ist aktuell das sicherste was es gibt vor allem, da man ohne Probleme die komplextität erhöhen kann.

 

[UNDERESTIMATED]

Edit: Und was bitte ist ein "DSGVO-Tool"? Die Genese des Wortes erklärt der Text auch nicht!

[Und jedes Wort des Restes ebenfalls] haben es nach gefühlten 8 Milliarden Sinnlosbashings mit Flüchen LikeYours verdient dort oben zu stehen und stehen zu bleiben.

Selten habe ich hier eine derart gelungene Komposition aus verständlichem Missgefallen lesen dürfen die konstruktiv und subjektiv zugleich, aber auch Objektiv in dem bisschen Text gelungen parallel ist.

Hätte es selbst, mit viel Lust und Geduld auf Seite 7 Mittendrin 4 Schulnoten besser zusammenfassen können. Daher !Danke!

@CB: Sowas habt ihr wirklich, auch abseits, oder zur Reichweitenvergrößerung wirklich nicht nötig. Eine falsche Ohrfeige reicht dem Beamten und schon sind 40 Musterdienstjahre eine Unehrenhafte Entlassung.

Biittteee lasst sowas doch wirklich - 2-3 gut recherchierte Artikel am Tag reichen doch. DPA Müll ungelesen Nachsabbeln ist einfach nicht euer Kernfeld, und das ist auch sehr gut so.

 

[Smagjus]

Lesen. Das Passwort wurde bei der HTTP-Anfrage für den Login an die URL, unter der der Download des Datensatzes bereitgestellt wird, im Klartext übermittelt. D.h. wahrscheinlich als unverschlüsselter GET-Parameter in der URL oder als POST-Parameter im unverschlüsselten HTTP-Body. Trotzdem täte IG gut daran, das Teil vorher zu hashen und auf dem Server nur die Hashes zu vergleichen.

Bin etwas eingerostet, aber hätten Ads auf der Zielseite nicht Zugriff auf das Passwort in der URL?

Keiner, deswegen braucht man ein "Tool" zum decrypten dieser.

Das ist Quatsch. Passwörter kann man nicht entschlüsseln, da das Hashen eines Passwort nicht umkehrbar ist.

 

[psYcho-edgE]

Bin etwas eingerostet, aber hätten Ads auf der Zielseite nicht Zugriff auf das Passwort in der URL?

Ich glaube theoretisch ja, man kann m.W. den Prototypen des XHR-Objekts überschreiben und somit bspw. alle Requests in der Konsole loggen. Da ist die Werbung aber falsch eingebunden und außerdem kommt man in dem Fall wohl einfacher mit einem typischen Keylogger.

Hier geht es eher darum, dass man wenn man mit Wireshark o.ä. das Netzwerk und besonders den HTTP-Verkehr überwacht, halt das PW rauskriegen könnte.

 

[q3fuba]

Das ist Quatsch. Passwörter kann man nicht entschlüsseln, da das Hashen eines Passwort nicht umkehrbar ist.

Stimmt... und alle Login Systeme kennen dich Persönlich und wissen dass dein Passwort richtig ist, nur durch Vertrauen...
Oder müssen die doch abgeglichen werden um zu prüfen ob das Passwort richtig ist?
Hmm

Also wenn das Login System das Passwort crypted kann das sehr wohl decrypterd werden!

 

[Smagjus]

Oder müssen die doch abgeglichen werden um zu prüfen ob das Passwort richtig ist?

Du reitest dich nur weiter rein, weil du den Protest von mir nicht zum Anlass genommen hast, dich selbst zu informieren.

Das Passwort wird gehasht in der Datenbank gespeichert. Die Funktion ist wie oben beschrieben nicht umkehrbar.

Wenn sich jemand einloggen will, schickt er sein Passwort an den Server. Dieser hasht das zugeschickte Passwort und hat dann die Möglichkeit diesen Hash mit dem bereits gespeicherten Hash aus der Datenbank zu vergleichen.

Bei der Identifikation von Inhalten mit sogenannten kryptologischen Hashfunktionen ist es nicht nur wichtig, dass sich der Hashwert bei jeder kleinen Modifikation scheinbar zufällig ändert und dass es nicht einfach ist, einen zweiten Inhalt mit demselben Hashwert zu erzeugen. Ebenso wichtig ist es, dass der Inhalt nicht aus dem Hashwert rekonstruiert werden kann.

https://de.wikipedia.org/wiki/Hashfunktion#Erklärung

 

[j-d-s]

Wer legt denn heute noch Passwörter im Klartext ab?

Genau das frage ich mich auch. Eigentlich dürfen Passwörter niemals im Klartext irgendwo gespeichert werden, gerade von der Webseite nicht. Es ist auch nicht allzu schwer, Passwörter halt nur gehasht zu speichern.