Hallo zusammen,
es kam bisher keine Stellungnahme, weil ich davon bis letzen Freitag nichts mitbekommen hatte. Am Freitag bekam ich eine WhatsApp-Nachricht, die mich auf diesen Thread hier hinwies. Seither versuche ich heraus zu bekommen, was passiert ist.
Was ich dazu sagen kann:
- der Server, auf dem citdoks.de lief, wurde immer regelmäßig gewartet und war zu jeder Zeit up to date. Eine Zero-Day Lücke kann ich natürlich nicht ausschließen. Es wurden auf dem Linux Server aber jede Nacht alle verfügbaren Updates automatisch eingespielt.
- in der citdoks-Datenbank wurden neben dem Namen, dem Nickname, der Mailadresse auch das verschlüsselte Passwort gespeichert. Es waren keine weiteren Daten enthalten. Insbesondere keine Bank- oder Kreditkartendaten.
- die Passwörter wurden schon seit vielen Jahren verschlüsselt abgespeichert. D.h. wenn der Angriff nach ca. 2006 geschehen ist, dann konnten nur unleserliche Passwörter abgegriffen werden. Als Verschlüsselung wurde ein sog. "gesalzener md5-Hash" verwendet. Wenn diese Daten in Umlauf geraten sind, dann nur als verschlüsselte und gesalzene Hashwerte. Diese sind theoretisch mit großen Rainbowtabellen und großem Hardwareaufwand entschlüsselbar, aber in der Praxis ist dies sehr, sehr aufwändig. Dies bedeutet, das die Passwörter selbst nicht bekannt sein dürften, wohl aber die Mailadressen, die Nicknames und ggf. die Echtnamen.
- im von Till genannten "HPI Identity Leak Checker" ist die Rede von über 15.000 geleakten Datensätzen. Citdoks hatte aber nie mehr als ca. 3.500 registrierte Benutzer (Fake-User, die ich immer wieder mal gelöscht habe, ausgenommen). Ich bin mir daher nicht sicher, ob es sich hier um echte Daten aus unserer Datenbank handelt, halte es aber für möglich.
- seit dem 15.12.2017 ist die Datenbank komplett vom Netz. Um der DSGVO gerecht zu werden, habe ich am 25.5.2018 alle personenbezogenen Daten (Name, Mailadresse, Nickname, Passwort) auch aus der letzten Sicherung der Datenbank entfernt. Alle vorherigen Sicherungen habe ich ebenfalls gelöscht. Daher ist es mir nicht möglich, alle Benutzer von citdoks.de anzuschreiben.
- obwohl mir von einem Leak bei citai.de nichts bekannt ist, nehme ich diese Seite ebenfalls zur Sicherheit vom Netz. Bei citai.de wurde eine ähnliche Technik verwendet wie bei citdoks.de.
Es tut mir sehr leid, dass hier wahrscheinlich ein Angriff erfolgreich war. Zur Sicherheit empfehle ich jedem, der sein citdoks-Passwort auch anderswo verwendet hat, dies zu ändern.
Ich möchte jedem raten, seine Mailadresse mit Diensten wie z.B. https://sec.hpi.de/ilc/ zu überprüfen. Es wurden auch Anbieter, wie z.B. Adobe, Dropbox, last.fm, moneybookers, twitter und andere geleakt (insgesamt über eine Milliarde Benutzerdaten). Bitte ändert Eure Passwörter regelmäßig.
Betrübte Grüße,
Martin