Archief
- De topics van lang geleden
Ineens nieuwe wachtwoorden
Hallo, *
Mijn bedrijf draait Windows Small Business Server met
Exchange Server (als je de versienummers wilt weten moet je
maar vertellen hoe ik die moet vinden). Onlangs kreeg ineens
iedereen het bericht dat hij/zij zijn password moest
wijzigen. Spontaan. Ik vind dat, eerlijk gezegd, nogal
alarmerend.
De mail server staat via port forwarding open naar de
buitenwereld (poorten smtp en pop), kan er via die weg iets
gebeurd zijn? De Windows Updates worden wel regelmatig
(minstens eens per week) bijgehouden.
Is er hier iets mis, of is dit weer een van de gewone
Microsoft-verrassingen?
Mijn bedrijf draait Windows Small Business Server met
Exchange Server (als je de versienummers wilt weten moet je
maar vertellen hoe ik die moet vinden). Onlangs kreeg ineens
iedereen het bericht dat hij/zij zijn password moest
wijzigen. Spontaan. Ik vind dat, eerlijk gezegd, nogal
alarmerend.
De mail server staat via port forwarding open naar de
buitenwereld (poorten smtp en pop), kan er via die weg iets
gebeurd zijn? De Windows Updates worden wel regelmatig
(minstens eens per week) bijgehouden.
Is er hier iets mis, of is dit weer een van de gewone
Microsoft-verrassingen?
Reacties (13)
Lijkt mij op een social ingeneering act. Is er voorafgaande een
aankondiging geweest dat zou gaan gebeuren. En nee dat kan niet
vanuit microsoft zijn gegaan. Dit kan alleen door een system
administrator geweest zijn. Of iemand van binnen of buiten het bedrijf
zijn geweest die dit heeft opgezet.
aankondiging geweest dat zou gaan gebeuren. En nee dat kan niet
vanuit microsoft zijn gegaan. Dit kan alleen door een system
administrator geweest zijn. Of iemand van binnen of buiten het bedrijf
zijn geweest die dit heeft opgezet.
07-08-2007, 16:32 door
jjge
Nee, ik ken het systeemwachtwoord, en er zijn nog een paar
mensen, en ik weet wie. En die mensen kan ik echt wel
vertrouwen. Het gebeurde zomaar ineens spontaan. Een gewone
systeemmelding, zo van "uw wachtwoord is verouderd, wijzig
het" (de letterlijke tekst weet ik even niet meer). Maar
noch ik, noch de anderen weten van iets, en volgens mij
staan de passwords helemaal niet op "expireerbaar". Dat is
precies de reden waarom ik het niet vertrouw.
mensen, en ik weet wie. En die mensen kan ik echt wel
vertrouwen. Het gebeurde zomaar ineens spontaan. Een gewone
systeemmelding, zo van "uw wachtwoord is verouderd, wijzig
het" (de letterlijke tekst weet ik even niet meer). Maar
noch ik, noch de anderen weten van iets, en volgens mij
staan de passwords helemaal niet op "expireerbaar". Dat is
precies de reden waarom ik het niet vertrouw.
07-08-2007, 16:49 door
jjge
Door Anoniem
Controleer je expiration policy voor de wachtwoorden
eens.
Oké, heb ik gedaan. (ik had nog niet op password policyControleer je expiration policy voor de wachtwoorden
eens.
gezocht). Ze expireren na 180 dagen. Maar dan toch niet
allemaal tegelijk?
07-08-2007, 17:21 door
Damiaen
Zou je wat meer informatie kunnen geven, bijvoorbeeld over:
Was het exact hetzelfde tijdstip dat men het wachtwoord
moest wijzigen?
Was het bij iedereen?
Kan je herinneren hoelang je je eigen wachtwoord al gebruikt?
en kun je dat met jullie 180 dagen policy op de server controleren?
Daarnaast zou je, om te kijken of er rare dingen met de
policy zijn gebeurd/uitgehaald, je oude wachtwoord weer eens
moeten proberen in te voeren. Als het goed is, is de juiste
policy zo sterk dat hij 10 of meer wachtwoorden onthoudt en
die je niet opnieuw laat gebruiken.
In ons bedrijf is de password change policy 90 dagen, maar
je machine begint al 14 dagen van te voren elke keer bij
opstarten te zeuren dat ik nog zoveel dagen heb om mijn
wachtwoord te wijzigen.
Geen idee of dat de default is en of dat een verschil kan
zijn in 2003 Server of Small Business Server.
Was het exact hetzelfde tijdstip dat men het wachtwoord
moest wijzigen?
Was het bij iedereen?
Kan je herinneren hoelang je je eigen wachtwoord al gebruikt?
en kun je dat met jullie 180 dagen policy op de server controleren?
Daarnaast zou je, om te kijken of er rare dingen met de
policy zijn gebeurd/uitgehaald, je oude wachtwoord weer eens
moeten proberen in te voeren. Als het goed is, is de juiste
policy zo sterk dat hij 10 of meer wachtwoorden onthoudt en
die je niet opnieuw laat gebruiken.
In ons bedrijf is de password change policy 90 dagen, maar
je machine begint al 14 dagen van te voren elke keer bij
opstarten te zeuren dat ik nog zoveel dagen heb om mijn
wachtwoord te wijzigen.
Geen idee of dat de default is en of dat een verschil kan
zijn in 2003 Server of Small Business Server.
07-08-2007, 17:31 door
jjge
Door Damiaen
Zou je wat meer informatie kunnen geven, bijvoorbeeld over:
Was het exact hetzelfde tijdstip dat men het wachtwoord
moest wijzigen?
Was het bij iedereen?
Kan je herinneren hoelang je je eigen wachtwoord al gebruikt?
en kun je de policy op de server inzien zodat je die
ingestelde 'password age' kan controleren?
Ik ben er maar een dag in de week, maar op die dag kwamen erZou je wat meer informatie kunnen geven, bijvoorbeeld over:
Was het exact hetzelfde tijdstip dat men het wachtwoord
moest wijzigen?
Was het bij iedereen?
Kan je herinneren hoelang je je eigen wachtwoord al gebruikt?
en kun je de policy op de server inzien zodat je die
ingestelde 'password age' kan controleren?
verschillende mensen aan me vragen wat dat te betekenen had.
En zelf moest ik mijn password ook veranderen. Niet op
"exact hetzelfde tijdstip", maar op het moment dat ik
inlogde. En ik had het een paar maanden geleden ook al
veranderd, toentertijd waarschijnlijk wegens normale
expiratie. (uiteraard heb ik hier geen logboek van
bijgehouden, want ik wist toen nog niet wat er daarna zou
gebeuren ;-) ).
En, inderdaad, ik heb (nadat iemand me verteld had dat
zoiets bij Microsoft "password policy" heet) nagekeken en
gezien dat de expiratie op 180 dagen staat. Klopt goed met
die gedwongen vervanging van een paar maanden geleden (toen
was ik ws een half jaar in dienst). Maar van deze min of
meer algemene verandering kan ik dus geen chocola maken.
Misschien dat de ondersteuning van Microsoft uitkomst kan
bieden?
Dat zou ik alvast wel even doen morgen...
bieden?
Dat zou ik alvast wel even doen morgen...
07-08-2007, 19:51 door
Damiaen
Peter V's raad zou ik inderdaad aanraden en ook zelf
opvolgen, plus een uitleg van jullie beheerder, dat zou niet
misstaan.
opvolgen, plus een uitleg van jullie beheerder, dat zou niet
misstaan.
Door Peter V.
Misschien dat de ondersteuning van Microsoft uitkomst kan
bieden?
Dat zou ik alvast wel even doen morgen...
En hoe kom je daaraan? Ik ben geen MS expert, dat zal duidelijk Misschien dat de ondersteuning van Microsoft uitkomst kan
bieden?
Dat zou ik alvast wel even doen morgen...
zijn, ik weet zelfs niet waar je naar toe zou moeten bellen.
En een beheerder hebben we niet, ik zal het zelf moeten doen...
Wat je in eerste instantie kunt proberen is morgen het onderstaande
telefoonnummer bellen.
[color=blue]020-5001500[/color]
Dit is kostenloos en betreft beveiliging voor MS producten.
Mocht het nummer niet juist zijn (omdat het hier Small
Business Server betreft) kun je vragen wie dan wel opgebeld
moet worden. Althans, zo zou ik het doen als ik voor het zelfde probleem zou staan.
telefoonnummer bellen.
[color=blue]020-5001500[/color]
Dit is kostenloos en betreft beveiliging voor MS producten.
Mocht het nummer niet juist zijn (omdat het hier Small
Business Server betreft) kun je vragen wie dan wel opgebeld
moet worden. Althans, zo zou ik het doen als ik voor het zelfde probleem zou staan.
09-08-2007, 10:48 door
SirDice
Door jjge
En, inderdaad, ik heb (nadat iemand me verteld had dat zoiets bij Microsoft "password policy" heet) nagekeken en gezien dat de expiratie op 180 dagen staat. Klopt goed met die gedwongen vervanging van een paar maanden geleden (toen was ik ws een half jaar in dienst). Maar van deze min of meer algemene verandering kan ik dus geen chocola maken.
Als men dus op dat moment allemaal het wachtwoord verandert zullen ze ook allemaal op hetzelfde moment verlopen.En, inderdaad, ik heb (nadat iemand me verteld had dat zoiets bij Microsoft "password policy" heet) nagekeken en gezien dat de expiratie op 180 dagen staat. Klopt goed met die gedwongen vervanging van een paar maanden geleden (toen was ik ws een half jaar in dienst). Maar van deze min of meer algemene verandering kan ik dus geen chocola maken.
09-08-2007, 10:49 door
SirDice
Door Damiaen
In ons bedrijf is de password change policy 90 dagen, maar je machine begint al 14 dagen van te voren elke keer bij opstarten te zeuren dat ik nog zoveel dagen heb om mijn wachtwoord te wijzigen. Geen idee of dat de default is en of dat een verschil kan zijn in 2003 Server of Small Business Server.
Is instelbaar. 14 dagen is de default (sinds NT). Normaal zet je dat op 3-5 dagen.In ons bedrijf is de password change policy 90 dagen, maar je machine begint al 14 dagen van te voren elke keer bij opstarten te zeuren dat ik nog zoveel dagen heb om mijn wachtwoord te wijzigen. Geen idee of dat de default is en of dat een verschil kan zijn in 2003 Server of Small Business Server.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
