AO3 nach Sicherheitsvorfall mindestens zwei Wochen offline
Archive of our own (AO3) hacked
Die Organisation for Transformative Works hat bei AO3 Hinweise auf einen Sicherheitsvorfall entdeckt und die Plattform abgeschaltet. Gelöscht wurde nichts, doch ob die Nutzerdatenbank gestohlen wurde, lässt sich derzeit nicht ausschließen. Betroffen sein könnten Nutzername, E-Mail-Adresse, IP-Adresse und ein gehashter Passwortwert. Die Wiederherstellung dürfte zwei bis vier Wochen dauern, möglicherweise kehrt die Seite früher in eingeschränktem Betrieb zurück.
Selbst die beste Hash-Methode kann ein schwaches oder mehrfach verwendetes Passwort nicht davor schützen, geknackt zu werden.
- swyx
> Heute früh haben wir Hinweise auf einen Sicherheitsvorfall bei AO3 entdeckt. Wir befinden uns noch in einer frühen Phase der Reaktion auf diesen Sicherheitsvorfall und ermitteln derzeit sein Ausmaß. AO3 wird offline bleiben, während wir weiter untersuchen und uns mit dem bisher Festgestellten befassen. Wir möchten jedoch einige Dinge klarstellen:
Erstens wurden keine AO3-Daten gelöscht. Alle eure Werke, Lesezeichen, Kudos usw. sind sicher.
Zweitens glauben wir derzeit zwar nicht, dass die Nutzerdatenbank gestohlen wurde, können es aber auch nicht ausschließen. Die AO3-Datenbank enthält Kontoinformationen, die euren Benutzernamen, eure E-Mail-Adresse, eure IP-Adresse und eine gehashte Version eures Passworts umfassen können.
Wir verwenden branchenübliche Verfahren, um Passwörter in einer verschlüsselten Form zu speichern, die sich nicht leicht rückgängig machen lässt. Dennoch kann keine Hashing-Methode ein schwaches oder wiederverwendetes Passwort vollständig davor schützen, geknackt zu werden. Vorsichtshalber empfehlen wir euch, eure Passwörter auf allen anderen Seiten zu ändern, auf denen ihr dasselbe Passwort wie bei AO3 verwendet.
AO3 erfasst keine echten Namen, daher könnten auch keine preisgegeben werden. Darüber hinaus werden unsere Spenderinformationen in einem völlig separaten System geführt und niemals mit AO3 verknüpft, sodass auch diese Daten nicht offengelegt wurden.
Wir werden alle auf dem Laufenden halten, während unsere Untersuchung weitergeht; möglicherweise können wir nicht auf individuelle Anfragen von Nutzern antworten. Bitte behaltet unsere offiziellen Kanäle im Auge, um Neuigkeiten zu erhalten. Unser nächstes Update wird veröffentlicht, sobald uns weitere Informationen vorliegen.
Unsere derzeitige Erwartung ist, dass AO3 mindestens zwei Wochen lang nicht verfügbar sein wird […]
- wmf
Diskussion von gestern: https://news.ycombinator.com/item?id=50293546
- tialaramex
> Die AO3-Datenbank enthält Kontoinformationen, die euren Benutzernamen, eure E-Mail-Adresse, eure IP-Adresse und eine gehashte Version eures Passworts umfassen können.
Gegen das Speichern eines Benutzernamens lässt sich nicht viel tun (wobei es ohnehin schon offensichtlich klug ist, nicht denselben Benutzernamen bei AO3 wie etwa bei Facebook zu haben, wenn man die Verbindung nicht hergestellt haben möchte), und anonyme Mailkonten ergeben für Fan-Werke genauso viel Sinn wie ein Postfach – aber bei Passwörtern können wir es einfach besser machen, und für AO3 erscheint mir das als lohnenswerte Ingenieursarbeit.
WebAuthn ermöglicht es einer Seite, mit Security Keys zu arbeiten, und das macht einen solchen Verlust im Grunde harmlos, anders als bei Passwort-Hashes.
- MattGaiser
Ich schätze, das wird einfach die nächsten paar Monate/Jahre so weitergehen, denn HN besteht im Moment nur aus einer Datenpanne nach der anderen.
- blurbleblurble
Ich frage mich, wie viele Datenpannen unentdeckt/un gemeldet bleiben