Gravatar 2020 Toplu Veri Kazıma Olayı

Araştırmacı Carlo Di Dato 3 Ekim 2020 tarihinde sayısal kimlikli JSON yolunun neredeyse hız sınırı olmadan profilleri sıralı toplamaya izin verdiğini açıkladı. Gravatar “hacklenmediğini,” kullanıcı adları ile e-posta referansı olarak kullanılan MD5 karmalarının kazındığını ve toplu toplamayı engellediğini belirtti.

Ad ve kullanıcı adı herkese açık profil alanlarıydı; e-posta adresi MD5 karmasıyla temsil ediliyordu. Karma şifrelenmiş/deşifre edilmiş değildir. Salt eklenmemiş MD5 deterministik olduğu için aday veya bilinen e-postalar karma haline getirilip eşleşen asıl e-postalar kurtarılabildi.

Kamuya açık ihlal kaynağı yaklaşık 167 milyon kazınmış profil ve ad/kullanıcı adıyla dağıtılan 113.990.759 kurtarılmış benzersiz e-posta bildirir. 113.990.759 kişi, aktif kullanıcı veya yeni açığa çıkan adres sayısı değildir; kurtarılan e-postaların %72'si kamuya açık ihlal kaynağı veri kümesinde önceki olaylardan zaten vardı. 3 Ekim tekniğin açıklama tarihidir, nihai veri kümesinin kesin toplama başlangıcı değildir.

Yerel kişi düzeyi veri kümesi yoktur. Kayıt güncel Gravatar kullanımı, profil sahipliği, ad/kullanıcı adı birlikteliği, parola ihlali veya kötüye kullanım göstermez. E-posta–ad–takma ad ve siteler arası bağlantılar hassas topluluk katılımını anonimlikten çıkarabileceği için özel tutulmalı; kullanıcılar yalnızca halen herkese açık Gravatar alanlarını gözden geçirmelidir.