Il NY Times ha recentemente pubblicato una storia su come sono stati violati durante un periodo di quattro mesi. Gli hack presumibilmente sono stati effettuati da parte dell'esercito cinese.
Una parte della storia che mi ha confuso era la seguente:
From there they snooped around The Times’s systems for at least two weeks before they identified the domain controller that contains user names and hashed, or scrambled, passwords for every Times employee.
While hashes make hackers’ break-ins more difficult, hashed passwords can easily be cracked using so-called rainbow tables — readily available databases of hash values for nearly every alphanumeric character combination, up to a certain length. Some hacker Web sites publish as many as 50 billion hash values.
Ricordo che quando le notizie sulle password di LinkedIn rubate sono state annunciate lo scorso anno che LinkedIn è stato criticato per non aver salato le loro password, e anche said che avrebbero saltato le password in futuro per migliorare la sicurezza.
Se il NY Times avesse salato le password, le tabelle arcobaleno non sarebbero state utili per gli hacker corretti? Il fatto che le tabelle arcobaleno siano menzionate nella storia significa che il giornalista era confuso su come sarebbe probabilmente accaduto l'hack? O questo significa che il NY Times probabilmente usava password non salate. Se è così, questo fa riferimento a una scarsa sicurezza da parte del NY Times (immagino che non sarebbe troppo sorprendente data l'entità dell'hack).
Fondamentalmente la mia domanda è che il fatto che le tabelle dell'arcobaleno siano state menzionate nella storia implicano che il NY Times abbia avuto politiche di sicurezza scadenti. Oppure le tabelle arcobaleno sono ancora utili per le organizzazioni di hacking che hanno buone pratiche di sicurezza in atto.