Britse provider verbiedt scheldwoorden als wachtwoord
Abonnees van de Britse internetprovider Virgin Media mogen bepaalde scheldwoorden niet als wachtwoord gebruiken, zo ontdekte de Britse IT-security consultant Paul Moore. De tool van Virgin Media die de sterkte van wachtwoorden controleert beschikt over een lijst van niet toegestane woorden.
Naast onveilige wachtwoorden als abc123 en password wordt de lijst vooral gedomineerd door scheldwoorden. Moore hekelde al eerder het wachtwoordbeleid van Virgin Media, waarin een wachtwoord van 8 tot 10 karakters wordt geëist. Daarnaast mag het wachtwoord alleen letters en cijfers bevatten. Ook waren er twijfels over de manier waarop de provider wachtwoorden opslaat.
Virgin Media stelt dat het wachtwoorden niet in platte tekst opslaat, maar wat voor beveiliging het dan wel gebruikt wil het bedrijf niet tegenover Moore laten weten. "Als wachtwoorden "versleuteld" zijn en niemand kan ze zien, waarom kan ik dan geen "bollox" gebruiken", vraagt de consultant zich af op Twitter. Volgens securityblogger Troy Hunt is de reden dat scheldwoorden worden geweigerd waarschijnlijk omdat dit beledigend voor de helpdesk kan zijn als die hierom vraagt.
Wat een onzin. Ik heb ook een keer zoiets gehad, en heb gezegd: 'Wijzig het ww maar. Dan kun je daarmee inloggen en verander ik hem straks wel weer terug.' Geen enkele helpdesk krijgt mijn WW. Is helemaal niet nodig.
TheYOSH
Ik heb altijd geleerd dat je nooit je ww moet afgeven, óók niet aan je provider.
Ik denk dat je gelijk hebt, of ze gebruiken een eigen API die het wachtwoord versleuteld met een wazige XOR of bitshift algoritme en het wachtwoord terug te converteren is. Het klinkt niet echt pluis.
Maar het kan wel betekenen dat je een wachtwoord van 20 karakters invoert dat vervolgens dezelfde hash oplevert als alleen de eerste acht karakters... dat hangt ervan af hoe het hashen gaat. Dus dan denk je extra veilig te zijn, ben je het helemaal niet. Dan kun je het maar beter weten. Kun je daar tenminste weg blijven ;-).
(Staat mij bij van een Unix implementatie vroeger).
Het kan ook betekenen dat er systemen zijn waarbij er een beperking zit op het aantal tekens dat je in het invulveld kunt invoeren. Of er is een bepaalde API die je wachtwoord door moet sturen naar AD o.i.d. waar vervolgens een beperking op zit.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
