Ondrej Sevecek's Blog

Pěkně: https://www.lupa.cz/clanky/v-uniku-z-mallu-je-pres-tri-ctvrte-milionu-jmen-hesel-a-telefonnich-cisel-v-citelne-podobe/

Článek se zabývá primárně krádeží hesel, ale vynechal několik podstatných bodů, které je dobré znovu a znovu opakovat až do zblbnutí:

• řeči o "prolomenosti" MD5 jsou nesmysl. Z MD5 heše se heslo musí stejně pořád krekovat a pořád doba kreku závisí na délce a kvalitě hesla. Možná je to rychleji než dříve, ale pořád brute-force. Takže tahle krádež byla plaintextová.
• kdo si do citlivých služeb dává stejná hesla, je blázen. Bez ohledu na to jak si to služba ukládá, stejně v nějakém okamžiku vidí heslo v čisté formě (například vyplněné do formuláře). Pokud bude napadena, stejně útočník hesla hostane čistá, když bude chtít.
• jak víme, že to byl nějaký hacker? Nejspíš to byl inside-job nějakého milého zaměstnance.
• tady nejde ani tak o krádež nějakých hesel, tady jde o únik osobních údajů. Dnes mají ještě strop 10 000 000 CZK, od května 2018, kdy vstoupí v účinnost nařízení GDPR, budou mít strop na pokutu 10 000 000 EUR a to ještě nepočítám možné soudy s poškozenými a náhrady jejich škod.
• incidenty se vždycky dějí, nelze jim zabránit, rizika lze pouze minimalizovat. Případně si mohou riziko přenést na někoho jiného. Předpokládám, že začne velký business s pojistkami proti GDPR pokutám :-)
• a proto taky GDPR zdůrazňuje potřebu anonymizace a pseudonymizace osobních údajů plynoucí z povinnosti zpracovávat osobní údaje jen po opravdu nutnou dobu. Pokud to neděláte, bude pokuta vyšší :-)