Britse provider verbiedt scheldwoorden als wachtwoord
Abonnees van de Britse internetprovider Virgin Media mogen bepaalde scheldwoorden niet als wachtwoord gebruiken, zo ontdekte de Britse IT-security consultant Paul Moore. De tool van Virgin Media die de sterkte van wachtwoorden controleert beschikt over een lijst van niet toegestane woorden.
Naast onveilige wachtwoorden als abc123 en password wordt de lijst vooral gedomineerd door scheldwoorden. Moore hekelde al eerder het wachtwoordbeleid van Virgin Media, waarin een wachtwoord van 8 tot 10 karakters wordt geëist. Daarnaast mag het wachtwoord alleen letters en cijfers bevatten. Ook waren er twijfels over de manier waarop de provider wachtwoorden opslaat.
Virgin Media stelt dat het wachtwoorden niet in platte tekst opslaat, maar wat voor beveiliging het dan wel gebruikt wil het bedrijf niet tegenover Moore laten weten. "Als wachtwoorden "versleuteld" zijn en niemand kan ze zien, waarom kan ik dan geen "bollox" gebruiken", vraagt de consultant zich af op Twitter. Volgens securityblogger Troy Hunt is de reden dat scheldwoorden worden geweigerd waarschijnlijk omdat dit beledigend voor de helpdesk kan zijn als die hierom vraagt.
Wat een onzin. Ik heb ook een keer zoiets gehad, en heb gezegd: 'Wijzig het ww maar. Dan kun je daarmee inloggen en verander ik hem straks wel weer terug.' Geen enkele helpdesk krijgt mijn WW. Is helemaal niet nodig.
TheYOSH
Ik heb altijd geleerd dat je nooit je ww moet afgeven, óók niet aan je provider.
Ik denk dat je gelijk hebt, of ze gebruiken een eigen API die het wachtwoord versleuteld met een wazige XOR of bitshift algoritme en het wachtwoord terug te converteren is. Het klinkt niet echt pluis.
Maar het kan wel betekenen dat je een wachtwoord van 20 karakters invoert dat vervolgens dezelfde hash oplevert als alleen de eerste acht karakters... dat hangt ervan af hoe het hashen gaat. Dus dan denk je extra veilig te zijn, ben je het helemaal niet. Dan kun je het maar beter weten. Kun je daar tenminste weg blijven ;-).
(Staat mij bij van een Unix implementatie vroeger).
Het kan ook betekenen dat er systemen zijn waarbij er een beperking zit op het aantal tekens dat je in het invulveld kunt invoeren. Of er is een bepaalde API die je wachtwoord door moet sturen naar AD o.i.d. waar vervolgens een beperking op zit.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
