'Websites moeten wachtwoordopslag vermelden'
Websites moeten hun gebruikers laten weten hoe ze wachtwoorden opslaan, om zo duidelijk te maken wat de impact van een eventuele hack is. Daarvoor pleit de Australische beveiligingsexpert Troy Hunt. Op dit moment hebben internetgebruikers geen idee wat voor aanpak websites hanteren. Sommige websites slaan wachtwoorden zelfs in platte tekst op.
Andere sites kiezen voor hashing-algoritmes als MD5 of SHA1. In veel gevallen wordt hierbij geen salt gebruikt, waardoor het achterhalen van het wachtwoord dat bij de hash hoort zeer eenvoudig is. Onlangs lekte de Australische tak van ABC een lijst met wachtwoordhashes. Hunt wist 53% van de wachtwoordhahes binnen 45 seconden te 'kraken'. Sindsdien heeft hij 90% van de hashes achterhaald.
Opslag
"Deze opslagmechanismen zijn niet robuust, ze zijn onnozel", merkt de onderzoeker op. Consumenten weten pas welk opslagmechanisme een website gebruikt als ze hun wachtwoord aan de website toevertrouwen. En vaak pas in het geval er een incident heeft plaatsgevonden.
Hunt vindt dat websites op de registratiepagina moeten aangeven welk mechanisme ze gebruiken. Dit zou websites en bedrijven moeten aansporen om veiligere opslagmechanismes te kiezen, aangezien niemand zou willen aangeven dat ze wachtwoorden in platte tekst opslaan.
Daarnaast geeft het sites die de opslag wel serieus nemen een mogelijkheid om zich te onderscheiden. In beide gevallen zouden consumenten er beter van worden, concludeert Hunt.
Heb daar zelfs geen admin gegevens voor nodig.
Nee, geen formattatie.
Heb daar zelfs geen admin gegevens voor nodig.
Nee, geen formattatie.
Heb daar zelfs geen admin gegevens voor nodig.
Nee, geen formattatie.
DOS is your friend to kill those passwords.
Heb daar zelfs geen admin gegevens voor nodig.
Nee, geen formattatie.
DOS is your friend to kill those passwords.
Stel je haalt met een truukje het volgende boven water: 94463b9bd981dbaa614bed9e59ee45f4fb9889063e6ae6b3ed56386651e661d4
Wordt dat wachtwoord onveiliger als ik zeg dat het een SHA256 hash is?
Kennis van de gebruikte methode maakt voor de veiligheid van dat wachtwoord niets uit.
Heb daar zelfs geen admin gegevens voor nodig.
Nee, geen formattatie.
DOS is your friend to kill those passwords.
Stel je haalt met een truukje het volgende boven water: 94463b9bd981dbaa614bed9e59ee45f4fb9889063e6ae6b3ed56386651e661d4
Wordt dat wachtwoord onveiliger als ik zeg dat het een SHA256 hash is?
Kennis van de gebruikte methode maakt voor de veiligheid van dat wachtwoord niets uit.
Maar toch heb ik een tool beschikbaar die ervoor zorgt dat heel die wachtwoord uit de SAM DB verdwijnt en zelfs uit Windows 8 SAM DB.
Heb daar zelfs geen admin gegevens voor nodig.
Nee, geen formattatie.
DOS is your friend to kill those passwords.
I dont think so.
Alleen de x zou hier relevant kunnen zijn maar dat hoef je nu ook weer niet te vermelden volgens dit bericht, als ik maar zeg dat ik het in ieder geval vaker dan eens doe.
En verder is dat dos ook niet waar zonder admin account kom jij niet aan de password files welke onder geladen windows zelf read only zijn. Zou je daarin tegen een bootcd gebruiken is het een ander verhaal afhankelijk van het feit of je hdd encrypted is zo niet, waarom zou je dan een wachtwoord aanpassen als je toch al heel het file systeem kan doorzoeken.
En wat nou als je zegt dat het plaintext is ? ;)
Wat heeft de gemiddelde gebruiker verder aan de melding dat het SHA256 is, dat zegt de meeste mensen helemaal niets.
Wat heeft de gemiddelde gebruiker verder aan de melding dat het SHA256 is, dat zegt de meeste mensen helemaal niets.
Wat heeft de gemiddelde gebruiker verder aan de melding dat het SHA256 is, dat zegt de meeste mensen helemaal niets.
Ik denk niet dat de gemiddelde gebruiker er ook maar iets op vooruit gaat, vaak kiezen ze er immers ook zelf voor zwakke wachtwoorden te gebruiken en standaard gebruikers wachtwoord val met een beetje nadenken vak prima te bruteforcen.
Hoevaak gebeurd het wel niet dat er een dictionary woord inzit met iets erachter en eventueel een hoofdletter aan het begin?
Misschien moet daar ook maar is meer duidelijkheid over worden gegeven, hoe bruteforcen werkt en waarom ze dus een beter wachtwoord moeten nemen.
En als een site het niet goed doet, wordt dat natuurlijk niet vermeld.
Netto resultaat: verwarde bezoekers op sites die het wel in orde hebben.
Niet erg aantrekkelijk.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?