Unfortunately, we must inform you of an IT security incident at the Technical University of Munich (TUM) that may also affect your personal data as an employee or student. You can find all the latest information on this matter here in this article, which is constantly updated.
User accounts with MFA were protected from this attack.
Klingt aber eher danach, als wäre da das eingegebene Passwort beim Login abgeflossen während der Attacke und nicht aus der DB extrahiert. Sonst wäre der 2FA Key ja auch weg, oder?
Außer die haben den 2FA Code per Mail oder SMS o.ä. geschickt und es gibt kein Secret in dem Sinne…
Ich hab einen Bekannten der da ziemlich nah an der Sache dran ist, der meinte, es ist wohl ein legacy-System gewesen, was über die Jahre gewachsen ist, aber halt offensichtlich nie korrekt mdernisiert wurde (wobei, gab es je eine Zeit, in der nicht Hashen OK war?).
Kann mir gut vorstellen, dass MFA später eingebaut, und dann in dem Zuge irgendwas aktualisiert wurde…
Aber was weiß ich. Richtig bleibt: bei korrekter Implementierung gibt es gar nicht die Möglichkeit, dass ein Angreifer je Klartext-Passwörter in die Hände bekommt.
(Was es für mich noch trauriger macht: sowohl die LMU als auch die HM hatten in jüngerer Vergangenheit ähnliche Hacks. Hätte man ja mal als Anlass nehmen können, die eigene Sicherheit zu prüfen. Aber hey, was ist schon die Chance, dass gleiche alle drei Münchner Hochschulen gehackt werden…)
Not the hashed passwords that are affected, btw. The passwords themselves.
Ah ja, deutsche IT-Kompetenz…
Klingt aber eher danach, als wäre da das eingegebene Passwort beim Login abgeflossen während der Attacke und nicht aus der DB extrahiert. Sonst wäre der 2FA Key ja auch weg, oder?
Außer die haben den 2FA Code per Mail oder SMS o.ä. geschickt und es gibt kein Secret in dem Sinne…
Ich hab einen Bekannten der da ziemlich nah an der Sache dran ist, der meinte, es ist wohl ein legacy-System gewesen, was über die Jahre gewachsen ist, aber halt offensichtlich nie korrekt mdernisiert wurde (wobei, gab es je eine Zeit, in der nicht Hashen OK war?).
Kann mir gut vorstellen, dass MFA später eingebaut, und dann in dem Zuge irgendwas aktualisiert wurde…
Aber was weiß ich. Richtig bleibt: bei korrekter Implementierung gibt es gar nicht die Möglichkeit, dass ein Angreifer je Klartext-Passwörter in die Hände bekommt.
(Was es für mich noch trauriger macht: sowohl die LMU als auch die HM hatten in jüngerer Vergangenheit ähnliche Hacks. Hätte man ja mal als Anlass nehmen können, die eigene Sicherheit zu prüfen. Aber hey, was ist schon die Chance, dass gleiche alle drei Münchner Hochschulen gehackt werden…)