資料庫內密碼可能遭破解　甲骨文挨轟

知名的安全專家兼SANS（SysAdmin, Audit, Network, Security）協會研究員Joshua Wright抨擊甲骨文（Oracle）資料庫的密碼保護有漏洞，讓企業資料曝於風險。

Joshua Wright在本周三（10/26）於洛杉磯舉行的SANS網路安全會議中，展示如何在幾分鐘內把甲骨文資料庫裡嚴謹加密過的密碼還原成未加密的純文字。

另一位SANS研究員Carlos Cid和Joshua Wright也找出好幾個弱點，包括一個脆弱的雜湊演算法（hashing mechanism）以及在一個未保留字母大小寫的缺點，所有的密碼字元在計算雜湊值（hash）之前都被轉換成大寫。兩人長達11頁的報告並張貼在SANS網站上。

透過這個弱點，入侵者在有限的資源下便能發動攻擊並取得特定人士的密碼。

雖然今年7月SANS就把該漏洞告知甲骨文，不過後來卻未得到甲骨文的回應。SANS建議甲骨文用戶要採用較為健全的密碼以及有限的使用者權限以保護系統，用戶也要要求甲骨文提供更好的密碼保護機制

甲骨文自從在日前公布每季例行的修補程式之後，持續遭受抨擊，一來是因為甲骨文列出的修補程式實在太多，二來修補程式還出現漏洞，以及修復動作慢等。編譯／陳曉莉