cc 雅虎10亿账户遭泄露，距离上一次5亿数据泄露过去没多久，雅虎又一次让我们大吃一惊，这一次雅虎泄露的账户数量足足有10亿之多。Freebuf上周也对此事进行了报导。
2013 年夏天，雅虎推行一个新项目来保障用户密码，同时宣布放弃旧有的安全性不佳的 MD5 加密方案。希望通过这一举措更好地保障用户密码安全。然而为时已晚，一切来得太迟了。同年八月份黑客入侵雅虎盗取了超过十亿条账户信息，账户密码和个人信息一并在泄露之列。失窃信息如此之大堪称历史之最。而雅虎三年之后才察觉到这此数据失窃，并在上周对外公布。
数据被盗的确是个很大的悲剧，然而当被盗数据还很容易破解的事情，情况就更难堪了。是的，你没有看错。雅虎直到这次的泄露事件发生之前，存储用户数据使用的加密算法都是MD5。众所周知，MD5算法十分的脆弱，互联网上存在各种免费/付费的MD5加密/解密网站，短短几秒就能完成。来看看国外专家是怎么评价雅虎的泄露。
来自AgileBits的安全专家Jeffrey Goldberg说：
其MD5哈希是否被加盐依然是个迷，因为雅虎在其声明中没有提及这一关键信息。这样的做法无疑将减少很多使用MD5带来的风险。先不论雅虎用的MD5，SHA1还是SHA256，最重要的是雅虎是否添加过盐值。因为完全没有理由使用没有添加盐值的哈希数。
Ty Miller(一家悉尼安全公司的董事)说：
MD5哈希算法已经被认为是不安全的加密算法，早20年前就已经被玩坏了。
MD5碰撞在1996年的时候发现，发展于2005年。我认为像雅虎这种大公司使用MD5这种过时的加密算法的做法是欠考虑的，它给用户的承诺就是保护用户的数据不会泄露。
你怎么可以连盐都不加?
Goldberg曾在2012年LinkedIn泄露事件中指责没有在hash里加盐，他将这件事与雅虎的数据泄露联系起来。有兴趣的可以看看(传送门)：
针对LinkedIn，用了MD5还是SHA1算法可能都无所谓，而是他喵的根本没有添加盐值。就像我在2012年曾辩称，LinkedIn使用未加盐的哈希是不负责任的，这句话现在对雅虎也是适用的，如果他们的哈希确实是没有加盐的话。
在这次泄露的10亿账户中，除了100万雅虎用户的姓名、密码、生日、手机号，泄露的数据库还包括备份电子邮件地址，甚至包括用于重置密码的安全问题和答案——关键某些安全问题和回答是还是未加密的。
所以，雅虎和我们强烈建议用户们尽快重置密码以及对应的安全问题。
当然，如果你在其它地方使用了相同的密码以及安全问题，也一起改了吧。
