Opera setzt nach Server-Hack Passwörter zurück

Opera bestätigt, dass ein Hacker in einen für die Synchronisierung genutzten Server eingedrungen ist. Er könnte an gehashte Passwörter gelangt sein. Mit welchem Verfahren sie gehasht waren, hat das norwegische Unternehmen bisher nicht angegeben. Alle Kennwörter für die Opera-Synchronisierung wurden als Vorsichtsmaßnahme zurückgesetzt.

Der Vorfall ereignete sich nach offiziellen Angaben zu einem unbestimmten Zeitpunkt der vergangenen Woche. Unter den eingesehenen Daten waren „die Passwörter mancher Nutzer von Sync und Kontodaten.“ Der volle Umfang sei noch nicht absehbar.

Mit Opera Sync lassen sich seit Version 32 vom September 2015 Website-Passwörter geräteübergreifend in Opera-Browsern nutzen. Im vergangenen Monat nutzten über 1,7 Millionen Menschen diese Funktion aktiv.

Die Passwörter für Sync selbst waren gehasht und mit Salt versehen, also für den Dieb nicht unmittelbar zu nutzen. Ob mit Hackerwerkzeugen aber eine Rekonstruktion möglich ist und wie leicht, hängt vom genutzten Hashing-Algorithmus ab, zu dem sich Opera bisher nicht geäußert hat.

Vielmehr schreibt Opera-Mitarbeiter Tarquin Wilton-Jones in seinem Bogbeitrag, das Unternehmen werde „keine genauen Angaben machen, wie die Authentifizierungspasswörter auf unseren Systemen für die Speicherung vorbereitet werden.“ Mit einer solchen Angabe erweise man einem potenziellen Angreifer nur einen Dienst.

Die Passwörter für externe Dienste, also die vom Sync-User benutzten Websites, waren verschlüsselt. Auch hier gibt es keine Angabe zum verwendeten Algorithmus – und nicht einmal zur Schlüssellänge.

Operas Sync-Funktion übernimmt Funktionen eines Passwortmanagers und weist auch die Schwachstelle eines solchen Programms auf: Ein einziges Passwort gewährt Zugriff auf alle anderen eines Users. Somit gibt es einen einzelnen, für Kriminelle besonders attraktiven Angriffspunkt. Vorteil für den Anwender ist natürlich, dass er sich nur ein Passwort merken muss.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.