LinkedIn versucht Schadensbegrenzung bei Passwortleck

Ein Teil der Passwörter habe zwar entschlüsselt werden können, doch soll das laut einem Blog ohne negative Folgen für die Nutzer bleiben. Das sei damit zu erklären, dass die Passwörter nicht zusammen mit den E-Mail-Adressen bekannt wurden, die für das Log-in erforderlich sind: “Noch einmal, wir haben keine Kenntnis darüber, dass zu irgendeiner Zeit jegliche Mitgliederinformationen im Zusammenhang mit der Liste gestohlener Passwörter veröffentlicht wurden. Die einzigen veröffentlichten Informationen waren die Passwörter selbst.”

LinkedIn-Manager Vicente Silveira erklärt außerdem, das Unternehmen arbeite weiterhin eng mit dem FBI zusammen, das aggressiv nach den Tätern suche. Er nennt dies in seinem “Update zu den Schritten, die wir zum Schutz unserer Mitglieder unternehmen” aber zugleich als Grund, nicht umfassend informieren zu können: “Wir wollen so transparent wie möglich sein, während wir gleichzeitig die Sicherheit unserer Mitglieder erhalten, ohne die laufenden Ermittlungen zu gefährden.” Wie es zum Passwortleck kam, wollte LinkedIn nicht mitteilen oder scheint es selbst nicht zu wissen.

In die Kritik gekommen war das Netzwerk unter anderem, weil die Passwörter zwar verschlüsselt, aber offenbar nicht zusätzlich durch Salting gesichert waren. Salt (Salz) ist eine zufällige Zeichenfolge, die an das Passwort angehängt wird und Entschlüsselungsversuche erheblich erschwert. Nach eigenen Angaben hat LinkedIn inzwischen reagiert und “die zusätzliche Sicherheitsebene eingeführt, die zu den anerkannt vorbildlichen Praktiken der Branche gehört”.

Salting will LinkedIn eingeführt haben, noch bevor sich die Nachricht vom Passwortleck verbreitete. Wenige Tage zuvor hatte es Silveira noch unter den Sicherheitsmaßnahmen nach dem Passwortleck genannt. Damit bleibt die Frage offen, warum sich das Unternehmen nicht schon wesentlich früher um eine bessere Passwortsicherheit bemüht hat. Vorwerfen lassen musste sich LinkedIn außerdem, weder über einen Chief Information Officer noch über einen Chief Security Officer zu verfügen.

Nach LinkedIn meldeten in der letzten Woche auch eHarmony und Last.fm ähnliche Vorfälle mit entwendeten Passwörtern. Von allen drei Sites wurden rund 8 Millionen Kennwörter publiziert. Thomas H. Ptasek von Matasano Security erklärt die Anfälligkeit auch großer Unternehmen für solche Lecks damit, dass sie keine Entwickler mit den erforderlichen Kenntnissen beschäftigen: “Sie machen das alle falsch. Ich denke, es ist das Problem, dass Generalisten unter den Entwicklern Aufbewahrungssysteme für Passwörter schreiben. Sie mögen gute Entwickler sein, aber sie sind fast nie Spezialisten für den Sicherheitsbereich. Es gibt nur wenige gute Entwickler, die zugleich Sicherheitsspezialisten sind.”

[mit Material von Bernd Kling, ZDNet.de]