Facebook heeft de wachtwoorden van honderden miljoenen gebruikers van Facebook en Instagram jarenlang onbeveiligd opgeslagen in databases, meldt beveiligingsonderzoeker Brian Krebs.
Facebook heeft bevestigd dat de wachtwoorden onbeveiligd opgeslagen werden. Facebook stelt geen aanwijzingen te hebben dat de database met onbeveiligde wachtwoorden ooit misbruikt zou zijn. Wel heeft Facebook aangekondigd alle getroffen Facebook- en Instagram gebruikers te zullen informeren en te adviseren hun wachtwoord te wijzigen. Omdat er geen aanwijzingen zijn dat de wachtwoorden misbruikt zouden zijn, maakt Facebook het wijzigen van het wachtwoord niet verplicht.
Oorzaak lag in Facebook Lite
Facebook Lite, een lichte versie van de Facebook-app voor entry-level Android smartphones, is naar verluidt oorzaak van het onbeveiligd opslaan van wachtwoorden in databases van Facebook. Facebook Lite wordt in Nederland en in Europa nauwelijks gebruikt, maar heeft wel een grote footprint in opkomende markten in Azië, Afrika en Zuid Amerika.
Wachtwoord versleuteling
Normaal gesproken worden wachtwoorden versleuteld door deze om te zetten in een zogenaamde 'hash' en vervolgens als een 'hash' in een database opgeslagen. Een hash is een willekeurige reeks letters en cijfers die wordt gegenereerd op basis van het ingevoerde wachtwoord. Een 'hash' is aanzienlijk moeilijker terug te rekenen naar het oorspronkelijke wachtwoord.
Tijdens het inloggen van de gebruiker wordt het wachtwoord dat wordt ingevoerd ook omgezet naar een hash. Indien de hash van het ingevoerde wachtwoord overeenkomt met de hash van het opgeslagen wachtwoord, is duidelijk dat de gebruiker het juiste wachtwoord heeft ingevoerd en wordt de gebruiker ingelogd.
Onversleuteld opslaan levert grote risico's op
Bij Facebook en Instagram werden wachtwoorden als 'platte tekst' opgeslagen in de database. Iedereen met toegang tot die database kon daardoor de opgeslagen wachtwoorden leesbaar inzien. Het onbeveiligd opslaan van wachtwoorden heeft als bijkomend risico dat hackers die de database kraken in één stap toegang hebben tot de Facebook- en Instagram-accounts van honderden miljoenen gebruikers. Facebook onderstreept dat er geen aanwijzingen zijn dat dit laatste is gebeurd.
