LinkedIn: Passwortleck hat keine negativen Folgen

Das Business-Netzwerk LinkedIn hat in einem Blogeintrag teilweise Entwarnung gegeben und versichert, dass nach der Veröffentlichung von 6,5 Millionen verschlüsselten Passwörtern keine Nutzerkonten kompromittiert wurden. Obwohl ein Teil der Passwörter entschlüsselt werden konnte, blieben negative Folgen laut LinkedIn aus.

Das sei damit zu erklären, dass die Passwörter nicht zusammen mit den E-Mail-Adressen bekannt wurden, die für das Log-in erforderlich sind: „Noch einmal, wir haben keine Kenntnis darüber, dass zu irgendeiner Zeit jegliche Mitgliederinformationen im Zusammenhang mit der Liste gestohlener Passwörter veröffentlicht wurden. Die einzigen veröffentlichten Informationen waren die Passwörter selbst.“

LinkedIn-Manager Vicente Silveira erklärt außerdem, das Unternehmen arbeite weiterhin eng mit dem FBI zusammen, das aggressiv nach den Tätern suche. Er nennt dies in seinem „Update zu den Schritten, die wir zum Schutz unserer Mitglieder unternehmen“ aber zugleich als Grund, nicht umfassend informieren zu können: „Wir wollen so transparent wie möglich sein, während wir gleichzeitig die Sicherheit unserer Mitglieder erhalten, ohne die laufenden Ermittlungen zu gefährden.“ Wie es zum Passwortleck kam, wollte LinkedIn nicht mitteilen oder scheint es selbst nicht zu wissen.

In die Kritik gekommen war das Netzwerk unter anderem, weil die Passwörter zwar verschlüsselt, aber offenbar nicht zusätzlich durch Salting gesichert waren. Salt (Salz) ist eine zufällige Zeichenfolge, die an das Passwort angehängt wird und Entschlüsselungsversuche erheblich erschwert. Nach eigenen Angaben hat LinkedIn inzwischen reagiert und „die zusätzliche Sicherheitsebene eingeführt, die zu den anerkannt vorbildlichen Praktiken der Branche gehört“.

Salting will LinkedIn eingeführt haben, noch bevor sich die Nachricht vom Passwortleck verbreitete. Wenige Tage zuvor hatte es Silveira noch unter den Sicherheitsmaßnahmen nach dem Passwortleck genannt. Damit bleibt die Frage offen, warum sich das Unternehmen nicht schon wesentlich früher um eine bessere Passwortsicherheit bemüht hat. Vorwerfen lassen musste sich LinkedIn außerdem, weder über einen Chief Information Officer noch über einen Chief Security Officer zu verfügen.

Nach LinkedIn meldeten in der letzten Woche auch eHarmony und Last.fm ähnliche Vorfälle mit entwendeten Passwörtern. Von allen drei Sites wurden rund 8 Millionen Kennwörter publiziert. Thomas H. Ptasek von Matasano Security erklärt die Anfälligkeit auch großer Unternehmen für solche Lecks damit, dass sie keine Entwickler mit den erforderlichen Kenntnissen beschäftigen: „Sie machen das alle falsch. Ich denke, es ist das Problem, dass Generalisten unter den Entwicklern Aufbewahrungssysteme für Passwörter schreiben. Sie mögen gute Entwickler sein, aber sie sind fast nie Spezialisten für den Sicherheitsbereich. Es gibt nur wenige gute Entwickler, die zugleich Sicherheitsspezialisten sind.“

[mit Material von Edward Moyer, News.com]

Tipp: Wie gut kennen Sie Soziale Netzwerke? Testen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Hinweis: Artikel von ZDNet.de stehen auch in Google Currents zur Verfügung. Jetzt abonnieren.