Auf diesem bescheidenen Blog werden die Kommentare über Disqus ermöglicht. Der Dienst steht in einer Basisvariante¹ kostenlos zur Verfügung und verrichtet in aller Regel ausgesprochen zuverlässig seinen Dienst.

Nun vermeldete das Unternehmen am 5. Oktober 2017 in einem Blogpost, dass bereits 2012² ein Snapshot der Userdatenbank mit 17,5 Millionen Einträgen abhanden gekommen ist.

Das ist natürlich doof.

Mehr dazu ist im Detail und deutschsprachig bei Tante Heise nachzulesen. Es läuft aber darauf hinaus, dass damals Benutzernamen, E-Mail-Adressen, Passwörter sowie der Zeitpunkt der Anmeldung und des letzten Logins aus der Userdatenbank stiften gingen.

Die Passwörter waren nicht im Klartext sonder als SHA1-Hash mit Salt gespeichert. Das ist wesentlich besser aber heutzutage auch nicht gerade gut…

Die Empfehlung für mich und jeden anderen Disqus-User der bereits 2012 dabei war lautet also³:

• Das Passwort bei Disqus ändern⁴.
• Sollte dasselbe Passwort auch anderswo eingesetzt sein⁵, so sollte es anderswo schnellstens ebenfalls geändert werden.

Die Empfehlung für mich und jeden anderen Disqus-Embed-Betreiber lautet nun wohl mal so langsam:

• Disqus durch ein anderes Kommentarsystem ersetzen. Isso böte sich hier vermutlich an⁶.

Damit hätte ich mich dann auch eines weiteren externen, zentralisierten Dienstes entledigt und das ist ja auch oft eine sehr gute Sache. Ich halte euch in dieser Sache auf dem laufenden…

(via: Schockwellenreiter)