Forum Weblog Zoek Actieve Items Nieuws Columns Reviews Previews Specials Archief

Twitch is gehackt

PoeHao

Twitch is gehackt en de schade is nu pas duidelijk geworden. Twitch heeft alle gedupeerden reeds een mail gestuurd, maar het kan geen kwaad om sowieso je wachtwoord even te wijzigen.

De hackers hebben mogelijk je gebruikersnaam van Twitch, je emailadres, je wachtwoord, het laatste IP-adres waar je via inlogde, informatie over je creditkaart, je echte voor- en achternaam, telefoonnummer, woonadres en geboortedatum. Maar je volledige creditkaartnummer hebben de hackers niet kunnen achterhalen.

Twitch

Help ons; deel dit item als je het leuk vond

Gamenieuwtje gevonden? Tip ons dan via de submit!

Schrijf je graag over games of e-sports? Join the gamescrew!

32 reacties

dinsdag 24 maart 2015, 10:52 uur #1

KingRadler

A real Zionist

Redactie Games

dinsdag 24 maart 2015, 10:52 uur #2

Noppie2000

Ahhh, daarom moest ik mijn wachtwoord veranderen. Eikeltjes weer.

dinsdag 24 maart 2015, 10:57 uur #3

Bienelientjee

Dutchie, living in the UK

Twitch heeft niet alleen gedupeerden een email gestuurd hoor. Iedereen wordt bij hun volgende bezoek gedwongen om hun wachtwoord te veranderen, gewoon om zeker te zijn.

dinsdag 24 maart 2015, 11:06 uur #5

nogeenoudebekende

The future is shit...

quote:
Op dinsdag 24 maart 2015 @ 11:03 schreef The_Avatar het volgende:
Amateuristische kut bende. Zo iets moest aan te klagen zijn. Zo laks info bewaren.

Zo laks met je gegevens omgaan ook.

And so is the past

dinsdag 24 maart 2015, 11:08 uur #6

Ikzegwatikzeg

Alles wat je op internet zet kan gehackt worden, daar moet je van uitgaan.
Is het nu niet dan is het over 2 jaar wel.

En als ik het niet zeg, dan heb ik het niet gezegd.

dinsdag 24 maart 2015, 11:11 uur #7

2NutZ

Non-profit paardenstylist.

Heb ook mail gehad idd... gebruik het nooit. Zootje.

* Je mag wel een iets normalere toon aanslaan. Realiseer je goed dat dit slechts jouw mening is.

dinsdag 24 maart 2015, 11:20 uur #8

Cryothic

nerd... meer niet.

quote:
Op dinsdag 24 maart 2015 @ 11:03 schreef The_Avatar het volgende:
Amateuristische kut bende. Zo iets moest aan te klagen zijn. Zo laks info bewaren.

gelukkig zijn alle details van de hack bekend, en kunnen we idd die conclusie al maken

Hoe laks zijn ze geweest dan? Ik lees nergens hoe de hacker(s) binnen is gekomen.

als ze ingelogd hebben met username "admin" en password "0000", dan ben ik het volledig met je eens. Anders... Wil ik graag eerst meer info over de hack voor ik me aansluit bij dit soort conclusies

NIEUW: Nieuwe foto-site

dinsdag 24 maart 2015, 11:26 uur #9

Uncle

quote:
Op dinsdag 24 maart 2015 @ 11:20 schreef Cryothic het volgende:

Wil ik graag eerst meer info over de hack voor ik me aansluit bij dit soort conclusies

Al hacken ze je hele database, als zelfs de wachtwoorden van de users bekend zijn dan waren ze per definitie slecht bezig want die moet/mag je sowieso niet unencrypted (of slecht encrypted) opslaan...

vincentriemersma.com

dinsdag 24 maart 2015, 11:27 uur #10

S95Sedan

No, not really...

Prutsers, sinds die overname is het een bende daar, tijd dat ze hun zaken eens op orde krijgen.

dinsdag 24 maart 2015, 11:33 uur #11

Cryothic

nerd... meer niet.

quote:
Op dinsdag 24 maart 2015 @ 11:26 schreef Uncle het volgende:

[..]

Al hacken ze je hele database, als zelfs de wachtwoorden van de users bekend zijn dan waren ze per definitie slecht bezig want die moet/mag je sowieso niet unencrypted (of slecht encrypted) opslaan...

dat is idd wel waar. Als dat het geval is, is dat wel erg nalatig.

NIEUW: Nieuwe foto-site

Redactie Games

dinsdag 24 maart 2015, 11:46 uur #12

PoeHao

Gaming as a Lifestyle!

quote:
Op dinsdag 24 maart 2015 @ 11:26 schreef Uncle het volgende:

[..]

Al hacken ze je hele database, als zelfs de wachtwoorden van de users bekend zijn dan waren ze per definitie slecht bezig want die moet/mag je sowieso niet unencrypted (of slecht encrypted) opslaan...

quote:
Op dinsdag 24 maart 2015 @ 11:33 schreef Cryothic het volgende:

[..]
dat is idd wel waar. Als dat het geval is, is dat wel erg nalatig.

Ze zeggen zelf:
PLEASE NOTE: Twitch does not store or process full credit or debit card information, so your card number is safe.

While we store passwords in a cryptographically protected form, we believe it's possible that your password could have been captured in clear text by malicious code when you logged into our site on March 3rd.

http://www.poehao.com/
https://www.esport-db.com/

dinsdag 24 maart 2015, 12:48 uur #14

hiostu2

quote:
Op dinsdag 24 maart 2015 @ 12:01 schreef Mike_Lee_Toris het volgende:

[..]

Je moet wachtwoorden helemaal niet opslaan. Wie dat doet, verdient een boete imho.

Je bedoeld neem ik aan dat je wachtwoorden niet in plain-text of met reversible encryption op moet slaan. Je moet een wachtwoord inderdaad hashen met een salt en de hash opslaan. Maar je zult altijd wel iets op moeten slaan. Als ze toegang hebben tot de volledige database en de code, dan kunnen ze ook achterhalen wat de salt is. In theorie kunnen ze in dat geval wel voor een user zijn wachtwoord achterhalen door te bruteforcen.

dinsdag 24 maart 2015, 12:49 uur #15

Dalaii

quote:
Op dinsdag 24 maart 2015 @ 12:01 schreef Mike_Lee_Toris het volgende:

[..]

Je moet wachtwoorden helemaal niet opslaan. Wie dat doet, verdient een boete imho.

hoe wil je dan in kunnen loggen?? als ze geen wachtwoorden opslaan hebben ze ook niks om jouw ingetypte wachtwoord mee te vergelijken.

dinsdag 24 maart 2015, 13:02 uur #16

Proliges

quote:
Op dinsdag 24 maart 2015 @ 11:03 schreef The_Avatar het volgende:
Amateuristische kut bende. Zo iets moest aan te klagen zijn. Zo laks info bewaren.

Oh, jij weet hoe zij info bewaren? Please: do tell

dinsdag 24 maart 2015, 13:03 uur #17

Proliges

quote:
Op dinsdag 24 maart 2015 @ 12:01 schreef Mike_Lee_Toris het volgende:

[..]

Je moet wachtwoorden helemaal niet opslaan. Wie dat doet, verdient een boete imho.

Ja hier kan ik helemaal niks zinnigs op zeggen behalve :

dinsdag 24 maart 2015, 13:28 uur #18

Cryothic

nerd... meer niet.

quote:
Op dinsdag 24 maart 2015 @ 11:46 schreef PoeHao het volgende:

[..]

[..]

Ze zeggen zelf:
PLEASE NOTE: Twitch does not store or process full credit or debit card information, so your card number is safe.

While we store passwords in a cryptographically protected form, we believe it's possible that your password could have been captured in clear text by malicious code when you logged into our site on March 3rd.

Ah, kijk, dat is een ander verhaal.
Dan is het een goeie hack geweest kennelijk

NIEUW: Nieuwe foto-site

dinsdag 24 maart 2015, 13:52 uur #19

Catkiller

We sail into the black

Die mail heb ik ook maar ik wist niet eens dat ik een account heb daar. Straks maar veranderen dan.

Op zaterdag 9 maart 2019 17:21 schreef Lospedrosa het volgende:
Wat voor een mongool ben jij nou weer. Klojo.
[/quote]

dinsdag 24 maart 2015, 15:30 uur #20

houdeensop

quote:
Op dinsdag 24 maart 2015 @ 13:52 schreef Catkiller het volgende:
Die mail heb ik ook maar ik wist niet eens dat ik een account heb daar. Straks maar veranderen dan.

En dan maar hopen dat het geen phishing mail van de hackers is.

dinsdag 24 maart 2015, 17:05 uur #21

Mike_Lee_Toris

quote:
Op dinsdag 24 maart 2015 @ 12:49 schreef Dalaii het volgende:
hoe wil je dan in kunnen loggen?? als ze geen wachtwoorden opslaan hebben ze ook niks om jouw ingetypte wachtwoord mee te vergelijken.

Door een hash met salt, of nog beter een flink zware KDF op het ingetypte wachtwoord los te laten, en dat te vergelijken met een opgeslagen hash.

Dan kun je wel verifiëren of wat iemand intypt, correct is, zonder dat je het password zelf opslaat (of iets anders waaruit het password op één of andere manier terug te herleiden is).

Enlightenment is the falling away of the sense of personal doership.

dinsdag 24 maart 2015, 17:08 uur #22

Mike_Lee_Toris

quote:
Op dinsdag 24 maart 2015 @ 12:48 schreef hiostu2 het volgende:
Je bedoeld neem ik aan dat je wachtwoorden niet in plain-text of met reversible encryption op moet slaan.

Inderdaad.

quote:
Je moet een wachtwoord inderdaad hashen met een salt en de hash opslaan. Maar je zult altijd wel iets op moeten slaan. Als ze toegang hebben tot de volledige database en de code, dan kunnen ze ook achterhalen wat de salt is. In theorie kunnen ze in dat geval wel voor een user zijn wachtwoord achterhalen door te bruteforcen.

Nope, met een salt (liefst uniek per user) voorkom je rainbow tables, en met een enigszins krachtige KDF valt er sowieso niets te bruteforcen.

Tenzij je onder "in theorie" verstaat dat het een miljoen miljard jaar mag duren, ja dan wel

Enlightenment is the falling away of the sense of personal doership.

dinsdag 24 maart 2015, 17:12 uur #23

Mike_Lee_Toris

quote:
Op dinsdag 24 maart 2015 @ 13:03 schreef Proliges het volgende:
Ja hier kan ik helemaal niks zinnigs op zeggen behalve :

Geeft niet, maar in dat geval zou ik je carrière als systeembeheerder of webdeveloper nog even op de lange baan schuiven

Idem dito voor die prutsers bij Twitch, trouwens. Wie dit soort basisfouten maakt behoort gewoon geen website te beheren.

Enlightenment is the falling away of the sense of personal doership.

dinsdag 24 maart 2015, 21:04 uur #24

Proliges

quote:
Op dinsdag 24 maart 2015 @ 17:12 schreef Mike_Lee_Toris het volgende:

[..]

Geeft niet, maar in dat geval zou ik je carrière als systeembeheerder of webdeveloper nog even op de lange baan schuiven

Idem dito voor die prutsers bij Twitch, trouwens. Wie dit soort basisfouten maakt behoort gewoon geen website te beheren.

Alsnog, als je het encrypt met je hash opslaan, is het alsnog opgeslagen en dus te kraken. Maar goed ik zal jou maar geen carriere als systeembeheerder of webdeveloper aanraden.

Als je wachtwoorden gewoon als string op gaat slaan ben je inderdaad gewoon een debiel. En dat gebeurd stiekem nog best vaak.

dinsdag 24 maart 2015, 22:26 uur #25

Mike_Lee_Toris

quote:
Op dinsdag 24 maart 2015 @ 21:04 schreef Proliges het volgende:
Alsnog, als je het encrypt met je hash opslaan,

wat?

quote:
is het alsnog opgeslagen en dus te kraken.

Encrypten en hashen zijn twee totaal verschillende operaties. Wat je opslaat is een hash, niet het encrypted password.

quote:
Als je wachtwoorden gewoon als string op gaat slaan ben je inderdaad gewoon een debiel. En dat gebeurd stiekem nog best vaak.

Helaas wel ja

Maar je moet een wachtwoord dus überhaupt niet opslaan. Je slaat alleen 'iets' op waarmee je later van random user input kunt verifiëren of dat hetzelfde was als het password. Maar dat 'iets' is of bevat niet het password zelf, op geen enkele manier (ook niet encrypted). Dus dat password valt daar ook nooit uit te herleiden (ook niet als je 'de key' hebt o.i.d. want dat is er niet).

Enlightenment is the falling away of the sense of personal doership.

woensdag 25 maart 2015, 10:26 uur #26

Wieisdiegast

Ik ken dat hele Twitch niet. *kruipt terug onder steen.

woensdag 25 maart 2015, 11:28 uur #27

hiostu2

quote:
Op dinsdag 24 maart 2015 @ 17:08 schreef Mike_Lee_Toris het volgende:

[..]

Inderdaad.

[..]

Nope, met een salt (liefst uniek per user) voorkom je rainbow tables, en met een enigszins krachtige KDF valt er sowieso niets te bruteforcen.

Tenzij je onder "in theorie" verstaat dat het een miljoen miljard jaar mag duren, ja dan wel

Als je weet wat de salt is per user, dan blijft enige onbekend het wachtwoord. Als je echt heel graag iemand wil hacken hoef je dus alleen maar de wachtwoord variaties te genereren totdat je op dezelfde hash uitkomt. Met een gemiddelde wachtwoord lengte van 8 characters voor de meeste mensen valt dat nog wel mee. Dat lukt met een beetje cloud rekenkracht nog redelijk vlot. Ik geef ook aan dat het in theorie is, vanwege het feit dat het aardig wat moeite en geld kost voor het account van een enkele gebruiker te hacken. Neemt niet weg dat met voldoende informatie vanuit de kant van de database en code het nog steeds te doen is. En hoeft zeker geen miljoen miljard jaar te duren.

woensdag 25 maart 2015, 23:38 uur #28

Mike_Lee_Toris

quote:
Op woensdag 25 maart 2015 @ 11:28 schreef hiostu2 het volgende:
Als je weet wat de salt is per user, dan blijft enige onbekend het wachtwoord. Als je echt heel graag iemand wil hacken hoef je dus alleen maar de wachtwoord variaties te genereren totdat je op dezelfde hash uitkomt. Met een gemiddelde wachtwoord lengte van 8 characters voor de meeste mensen valt dat nog wel mee. Dat lukt met een beetje cloud rekenkracht nog redelijk vlot. Ik geef ook aan dat het in theorie is, vanwege het feit dat het aardig wat moeite en geld kost voor het account van een enkele gebruiker te hacken. Neemt niet weg dat met voldoende informatie vanuit de kant van de database en code het nog steeds te doen is. En hoeft zeker geen miljoen miljard jaar te duren.

8 tekens klinkt als best weinig, is het niet eerder 10?
Maar ik denk dat het ook theoretisch echt geen haalbaar scenario is. Met een beetje stevige KDF (die laten we zeggen 100-200 millisec kost) kost het voor enkel alfanumerieke wachtwoorden van 8 karakters alsnog meer dan een miljoen jaar. Daar moet je toch aanzienlijk meer dan 'een beetje cloud rekenkracht' tegenaan gooien, wil je dat effectief gezien terugbrengen naar een praktisch haalbare tijd. Om nog maar te zwijgen wat een gigantische berg geld dat kost.

De wetenschap dat het eventuele hackers die alle info in handen krijgen, op zijn minst vele jaren en vele miljoenen euro's zou kosten om mijn password te brute forcen, zou ik zelf als "veilig" beschouwen. En als het écht om gevoelige dingen gaat neem ik wel een password van 13+ karakters, dat kost nog eens een miljard keer zo veel tijd of geld.

Anyway, theoretisch geneuzel. Die prutsers van Twitch hebben gewoon iets gigantisch stoms gedaan, dat is duidelijk

Enlightenment is the falling away of the sense of personal doership.

donderdag 26 maart 2015, 09:11 uur #29

hiostu2

quote:
Op woensdag 25 maart 2015 @ 23:38 schreef Mike_Lee_Toris het volgende:

[..]

8 tekens klinkt als best weinig, is het niet eerder 10?
Maar ik denk dat het ook theoretisch echt geen haalbaar scenario is. Met een beetje stevige KDF (die laten we zeggen 100-200 millisec kost) kost het voor enkel alfanumerieke wachtwoorden van 8 karakters alsnog meer dan een miljoen jaar. Daar moet je toch aanzienlijk meer dan 'een beetje cloud rekenkracht' tegenaan gooien, wil je dat effectief gezien terugbrengen naar een praktisch haalbare tijd. Om nog maar te zwijgen wat een gigantische berg geld dat kost.

De wetenschap dat het eventuele hackers die alle info in handen krijgen, op zijn minst vele jaren en vele miljoenen euro's zou kosten om mijn password te brute forcen, zou ik zelf als "veilig" beschouwen. En als het écht om gevoelige dingen gaat neem ik wel een password van 13+ karakters, dat kost nog eens een miljard keer zo veel tijd of geld.

Anyway, theoretisch geneuzel. Die prutsers van Twitch hebben gewoon iets gigantisch stoms gedaan, dat is duidelijk

Hoezo hebben ze iets gigantisch stoms gedaan? De wachtwoorden waren netjes gehashed met salt opgeslagen. Creditcard gegevens waren ook niet opgeslagen in de database en zijn niet buitgemaakt. Ze zijn gehacked en potentieel is er op 3 maart toegang geweest tot de server, waarvan ze niet weten of er daar software is aangepast om wachtwoorden af te vangen die ingevoerd werden op de website om te authentiseren. Vanuit dat perspectief hebben ze uitvoorzorg iedereen het WW laten wijzigen. Volgens mij heeft Twitch het erg netjes voor elkaar en is er weinig te verwijten. Wellicht is er door social engineering toegang verkregen tot de servers en zit het technisch allemaal goed in elkaar.

donderdag 26 maart 2015, 09:36 uur #30

Mike_Lee_Toris

quote:
Op donderdag 26 maart 2015 @ 09:11 schreef hiostu2 het volgende:
Hoezo hebben ze iets gigantisch stoms gedaan? De wachtwoorden waren netjes gehashed met salt opgeslagen.

Oh, als dat zo is trek ik mijn woorden terug (over dat gigantisch stom). Ik begreep juist dat ze dat niet hadden gedaan, en dat er vanuit de database wachtwoorden waren buitgemaakt.

Enlightenment is the falling away of the sense of personal doership.

donderdag 26 maart 2015, 13:33 uur #31

hiostu2

quote:
Op donderdag 26 maart 2015 @ 09:36 schreef Mike_Lee_Toris het volgende:

[..]

Oh, als dat zo is trek ik mijn woorden terug (over dat gigantisch stom). Ik begreep juist dat ze dat niet hadden gedaan, en dat er vanuit de database wachtwoorden waren buitgemaakt.

Het artikel was daar ook niet helemaal duidelijk. Wat ik heb begrepen vanuit de communicatie vanuit Twitch en wat andere websites hebben ze geen wachtwoorden buitgemaakt vanuit de database. Het is alleen onbekend wat ze hebben buitgemaakt op 3 maart toen ze potentieel toegang hadden tot de servers. Daarvoor waarschuwen ze expliciet mensen die dat op die dag hebben gedaan.

donderdag 26 maart 2015, 15:48 uur #32

Chanty87

quote:
Op donderdag 26 maart 2015 @ 13:33 schreef hiostu2 het volgende:

[..]

Het artikel was daar ook niet helemaal duidelijk. Wat ik heb begrepen vanuit de communicatie vanuit Twitch en wat andere websites hebben ze geen wachtwoorden buitgemaakt vanuit de database. Het is alleen onbekend wat ze hebben buitgemaakt op 3 maart toen ze potentieel toegang hadden tot de servers. Daarvoor waarschuwen ze expliciet mensen die dat op die dag hebben gedaan.

Dit was het geval: Iedere ingelogde gebruiker had tijdelijk toegang tot andermans account door simpelweg de pagina te refreshen. Bij elke pagina load was je ingelogd als een andere random gebruiker waardoor je dus gewoon andermans dashboards, instellingen en inboxen kon bekijken. Ook de taal veranderde op basis van de voorkeuren van de gebruiker als wie je op dat moment was ingelogd. Op de Twitch subreddit staan meer details (wel even zoeken, gebeurde ongeveer een week geleden). Klinkt meer als een fuckup van Twitch zelf dan een hack.

シ

Reageer zelf