Крис Лион (Chris Lyon), директор по безопасности в проекте Mozilla,
подтвердил (http://blog.mozilla.com/security/2010/12/27/addons-mozilla-o.../) факт утечки базы пользовательских аккаунтов каталога дополнений addons.mozilla.org, включающей идентификаторы пользователей, email и хэши от паролей. Так как в БД были представлены только хэш-функции паролей, риск для пользователей addons.mozilla.org отмечен как минимальный.

Несмотря на то, что для аутентификации в проекте используются надежные SHA-512 хэши со случайным salt-ом, скомпрометированная пользовательская база содержала дополнительно около 44 тыс. аккаунтов, в которых использовались устаревшие md5-хэши. Во избежание проникновения злоумышленников, после обнаружения утечки данные аккаунты были заблокированы, а md5-хэши обнулены. Хэши SHA-512 были введены в эксплуатацию в апреле 2009 года.

В настоящее время расследуются причины утечки пользовательской базы. По заявлению  Криса Лиона, инцидент связан только с утечкой архива базы и не затронул какие-либо части инфраструктуры Mozilla.

URL: http://blog.mozilla.com/security/2010/12/27/addons-mozilla-o.../
Новость: http://www.opennet.me/opennews/art.shtml?num=29143

• Подтверждена утечка пользовательской базы addons.mozilla.org...,Гордый Аноним, 13:47 , 28-Дек-10
• Подтверждена утечка пользовательской базы addons.mozilla.org...,Atolstoy, 13:47 , 28-Дек-10
• Подтверждена утечка пользовательской базы addons.mozilla.org...,Аноним, 13:58 , 28-Дек-10
  • Подтверждена утечка пользовательской базы addons.mozilla.org...,анонимус, 05:23 , 29-Дек-10
    • Подтверждена утечка пользовательской базы addons.mozilla.org...,Аноним, 11:19 , 29-Дек-10
• Подтверждена утечка пользовательской базы addons.mozilla.org...,тоже Аноним, 14:21 , 28-Дек-10
  • Подтверждена утечка пользовательской базы addons.mozilla.org...,kapsh, 14:26 , 28-Дек-10
    • Подтверждена утечка пользовательской базы addons.mozilla.org...,Аноним, 15:06 , 28-Дек-10
      • Подтверждена утечка пользовательской базы addons.mozilla.org...,Crazy Alex, 16:46 , 29-Дек-10
  • Подтверждена утечка пользовательской базы addons.mozilla.org...,TiGR, 14:37 , 28-Дек-10
  • Подтверждена утечка пользовательской базы addons.mozilla.org...,ws, 15:18 , 28-Дек-10
    • Подтверждена утечка пользовательской базы addons.mozilla.org...,тоже Аноним, 16:57 , 28-Дек-10
      • Подтверждена утечка пользовательской базы addons.mozilla.org...,ws, 20:50 , 28-Дек-10
• Подтверждена утечка пользовательской базы addons.mozilla.org...,Амнезинус, 15:18 , 28-Дек-10
  • Подтверждена утечка пользовательской базы addons.mozilla.org...,Аноним, 15:22 , 28-Дек-10
    • Подтверждена утечка пользовательской базы addons.mozilla.org...,gegMOPO4, 15:43 , 28-Дек-10
    • Подтверждена утечка пользовательской базы addons.mozilla.org...,Aquarius, 20:05 , 28-Дек-10
• Подтверждена утечка пользовательской базы addons.mozilla.org...,filosofem, 20:27 , 28-Дек-10
  • Подтверждена утечка пользовательской базы addons.mozilla.org...,Frank, 20:43 , 28-Дек-10
    • Подтверждена утечка пользовательской базы addons.mozilla.org...,pavlinux, 03:43 , 30-Дек-10
      • Подтверждена утечка пользовательской базы addons.mozilla.org...,filosofem, 11:11 , 30-Дек-10
• Подтверждена утечка пользовательской базы addons.mozilla.org...,Filosof, 13:55 , 29-Дек-10

http://www.opennet.me/opennews/pics_base/29136_1293461014.jpg

И ChronoPlay сломали, и в ЖЖ спамят. Традиционное рождественское хулиганство.

Пользователи с паролем 123 счастливы :-) Я как то запустил John The Ripper у себя и нашел пару сотен пользователей с таким паролем.

> Пользователи с паролем 123 счастливы

Пароль без разницы: "SHA-512 хэши со _случайным_ _salt-ом_"

>> Пользователи с паролем 123 счастливы
> Пароль без разницы: "SHA-512 хэши со _случайным_ _salt-ом_"

Случайный salt помешает определению одинаковых паролей в базе, но никак не отразиться на процессе подбора паролей по словарю.

Благодаря этой новости я узнал, что на addons.mozilla.org можно зарегистрироваться, но так и не узнал - зачем?

Некоторые возможности для незарегистрированных там закрыты. Скачивание экспериментальных аддонов, например.

Это в которых нашли троянов? Не, теперь точно не буду регистрироваться. Береженого бог бережет.

Это для которых нет 3-х отзывов пользователей, или как-то так. В общем, совсем уж экзотика или новьё, как правило, в экспериментальных сидит

Например, чтобы выложить расширение. Я лично там был зарегистрирован именно поэтому.

Для меня там самая удобная фишка для зарегистрированных пользователей - создание своих колекций расширений! - Не надо каждый раз искать их, когда настраиваешь кому-то мозилу.

А чем ФФ с коллекцией будет отличаться от Оперы? ;)
Я, когда ставлю кому-нибудь ФФ, добавляю только AdBlock. Ну, ImgLikeOpera, если человек не на безлимите. Но чтобы коллекцию?

> А чем ФФ с коллекцией будет отличаться от Оперы? ;)
> Я, когда ставлю кому-нибудь ФФ, добавляю только AdBlock. Ну, ImgLikeOpera, если человек
> не на безлимите. Но чтобы коллекцию?

У каждого своя колекция, которая может не совпадать...

То есть, существует вероятность, что в каком-нибудь популярном расширении, вроде adblock, внедрен троян?

Ты вообще статью читал?

Читал, но забыл. ;)

>> То есть, существует вероятность, что в каком-нибудь популярном расширении, вроде adblock, внедрен троян?
> Ты вообще статью читал?

вообще-то, вопрос с содержимым статьи коррелирует

Интересно, они не подумали, что злоумышленники могли и SSL сертификат до кучи прихватить и его следует поменять чисто паранойи ради?

SSL сертификат в sql базе?! Да вы фокусник, гражданин! :)

> SSL сертификат в sql базе?! Да вы фокусник, гражданин! :)

mysql_query(mysql, "CREATE TABLE cert (DATA BINARY(255))");

char *query = malloc(1024);

int BUFF = 1024;
int CERT_BLOCK = 255;

while ( cert_opened_file ) {

      memset(query, 0, BUFF);
      read(cert_opened_file, cert_block, BLOCK);
      sprintf(query, "INSERT INTO cert SET data = %s", cert_block);
      mysql_query(mysql, query);

      offset += BLOCK;
      lseek(cert_opened_file, BLOCK, SEEK_CUR);
}
...

как-тo так

Как-то так:

echo "CREATE TABLE cert(data blob);LOAD DATA LOCAL INFILE '/etc/ssl/certs/cert.crt' INTO TABLE cert  FIELDS TERMINATED BY 'somecrap' LINES TERMINATED BY '' (data);"| mysql -D userdb

Вообще я об том, что если кто-то упер базу, у него с определенной вероятностью может быть доступ куда угодно на этом сервере, поэтому заменить лучше все важные данные. Очень надеюсь, что сами аддоны на этом сервере не хостятся, иначе адблоком страшно пользоваться теперь.
И кормить троля Franka не надо имхо.

теперь ждите спама с обращением по регимени из мозиллы.