ING negeert hoofdletters in wachtwoorden
ING adviseert klanten om hoofdletters te gebruiken, maar hierop wordt niet gecontroleerd tijdens het inloggen. Een lezer van Webwereld ontdekte dat hij zowel met "WACHTWOORD" als "wachtwoord" kon inloggen. De bank laat op de eigen website weten: "Gebruik hoofdletters, kleine letters, cijfers en symbolen door elkaar. Gebruik altijd verschillende wachtwoorden voor verschillende diensten", zo blijkt uit de Google-cache. De bank heeft het advies inmiddels aangepast. Nu staat er: "Gebruik letters, cijfers en symbolen door elkaar."
Slecht idee
Volgens Frank van Vliet van Certified Secure zijn wachtwoorden sowieso een slecht idee voor het inloggen bij banken. Gebruikers kiezen over het algemeen eenvoudige wachtwoorden. Tweefactor-authenticatie, waarbij klanten voor het inloggen een calculator gebruiken, zou een betere oplossing zijn. Alle andere grote Nederlandse banken gebruiken dit systeem al.
Een woordvoerder van ING laat tegenover Webwereld weten dat het advies om grote en kleine letters te gebruiken raar is en dat de bank dit zal aanpassen. Ook benadrukt hij dat de bank er alle belang bij heeft om gebruikers te beveiligen en aan de eisen van de Nederlandse Bank te voldoen. "Maar goed je maakt een afweging tussen beveiliging en gebruiksgemak. En dat is waarom we bepaalde keuzes maken", legt de woordvoerder uit. Onlangs werd een soortgelijk probleem ook bij webwinkel Amazon ontdekt.
Ze vergeten dan echter dat je wel twee pogingen kan doen en daarna kan wachten tot de ING klant zijn of haar wachtwoord weer goed heeft ingevoerd. En daarna kan je weer twee keer proberen.
Als de ING klant dus elke twee weken een keer inlogt, kan je (52/2)*2 is 52 wachtwoorden proberen per jaar, zonder dat de ING klant hier achter komt.
Bovendien kan je dit bij meerdere slachtoffers tegelijk doen (slachtoffers van het 'wachtwoordbeleid' van ING welteverstaan). Want we hebben het hier over Internet dus elk IP adres is een mogelijke aanvaller.
Waarschijnlijk bedoelen ze dat het het hun minder geld kost waardoor de directie bonus weer wat dikker kan zijn. Toch?
Het is inderdaad wel erg makkelijker om je wachtwoord alleen in kleine letters te typen. -_-
Bank dit toelaat:S
Gaat ING Bank dit nog verandere? Zo niet moet ik dan maar een 100 teken wachtwoord nemen voor me veiligheid dus?
Of de wachtwoorden worden eerst geconvert naar hetzelfde lowercase formaat, en daarna gehashed.
Ik weet t zelf niet, maar dit stinkt
wachtwoorden worden op 20 tekens afgekapt
Nou of je daar zo gelukkig mee moet zijn? Iedereen binnen redelijk afstand kan je gebruikersnaam mee lezen, omdat deze in tegenstelling van je wachtwoord leesbaar is.
Verder is het opvissen van je nieuwe codes van de ING vrij gemakkelijk want ze worden door de ING naar je adres verstuurt in A vier enveloppe die nogal opvalt.
Mijn ING is alleen met een gebruikersnaam en wachtwoord te benaderen. Elke combinatie van gebruikersnaam en wachtwoord is uniek. Bij het inloggen worden de codes gecontroleerd; alleen wanneer de combinatie goed is, kunt u inloggen.
Kortom: geen plannen tot verbetering. Gebruikers ervaren het als prettig. Wederom kan ik me echter niet herinneren dat ooit naar mijn mening is gevraagd over dit specifiek verschijnsel.
Het gaat er trouwens niet om of er iemand iets met mijn geld kan doen, ik vind het wel prettig wanneer het niet zichtbaar is. Wellicht dat het veilig genoeg is, want na een aantal pogingen wordt het zooitje geblokkeerd.
Prettig... tsssk!!!
Zij bepalen dat ik mijn wachtwoord moet veranderen (dacht dat ik eigen baas was), maar iets simpels als checken of het ingevoerde wachtwoord ook letterLIJK klopt, nee dat kan niet hoor dat ene bitje zal en moet vallen.
(het verschil tussen hoofd of kleine letter is slechts 1 bit).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
