Linux Mint wijzigt wachtwoordbeleid na hack
De populaire Linuxdistributie Linux Mint, die onlangs het doelwit van een aanval werd waarbij er downloadlinks naar besmette installatiebestanden via de officiële website werden verspreid, heeft besloten het wachtwoordbeleid aan te passen. De aanvaller die de downloadlinks wist aan te pakken kreeg ook de database met gebruikersgegevens in handen. Het ging onder andere om gebruikersnamen, versleutelde wachtwoorden en e-mailadressen.
"De gevoeligste gegevens die we van gebruikers opslaan zijn wachtwoorden", zegt projectleider Clement Lefebvre op het Linux Mint-blog. Hij stelt dat deze gegevens waardevol voor aanvallers zijn omdat ze, ondanks dat ze zijn versleuteld, in het geval van zwakke wachtwoorden kunnen worden achterhaald. Daarnaast zijn er gebruikers die hun wachtwoord op meerdere websites hergebruiken.
Om het kraken van versleutelde wachtwoorden lastiger te maken worden er nu twee aanpassingen doorgevoerd. Het forum accepteert nu alleen nog wachtwoorden van tenminste 10 karakters die uit tekens, cijfers en letters en hoofdletters bestaan. De community-website van Linux Mint accepteert geen wachtwoorden meer die gebruikers zelf kiezen. De wachtwoorden zullen voortaan worden gegenereerd en via e-mail worden verstuurd. De wachtwoorden van bestaande accounts op de community-website zijn inmiddels gereset.
Sommige gebruikers zijn echter kritisch dat het wachtwoord voor de community-website in platte tekst wordt gemaild. "Ik ben verbijsterd. Geen mogelijkheid om een eigen veilig wachtwoord via een https-verbinding in te stellen en mijn nieuw gegenereerde wachtwoord komt onversleuteld via dee-mail binnen", aldus een gebruiker genaamd 'Joe'. Hij krijgt bijval van een andere gebruiker, die stelt dat in het geval van gratis e-maildiensten het wachtwoord op deze manier aan overheden en de e-mailaanbieder worden gegeven. Lefebvre reageert daarop door te stellen dat deze methode zowel zijn voor- als nadelen heeft.
[x] ongeschikt.
En dat vind ik jammer, Mint is (was) een uitstekend begin voor de overstappers.
http://www.directadmin.com/
http://www.directadmin.com/versions.php
De hacker vertelt .
http://www.zdnet.com/article/hacker-hundreds-were-tricked-into-installing-linux-mint-backdoor/
1. Nu weet niet alleen de gebruiker het wachtwoord (en natuurlijk de website van Mint), maar ook de e-mailprovider en eventueel alle hops die de e-mail geroutet hebben.
2. Het wachtwoord wordt in platte tekst opgeslagen, iets wat men met wachtwoorden nooit zou moeten doen
3. Geen enkele gebruiker kan het wachtwoord onthouden, doordat het niet zelf gekozen en complex is. Enige opties zijn dus de e-mail bewaren, het op papier schrijven of een password safe gebruiken. 3x raden wat de meeste gebruikers zullen doen...
4. Wat moet ik doen als gebruiker als ik weet dat mijn wachtwoord gecompromiteerd is? Ik kan niet een nieuw wachtwoord kiezen.
Oftewel, om de domme mensen met zwakke wachtwoorden te beschermen (eerlijk gezegd: eigen schuld dikke bult), worden nu ALLE gebruikers het slachtoffer van een stompzinng wachtwoordbeheer.
1) Gebruiker maakt nieuw account aan
2) Gebruiker ontvangt een bevestigingsmail met een link om een wachtwoord te kiezen
3) De gebruiker klikt op de link in de mail, bevestigd daarmee zijn e-mailadres
4) Op het wachtwoordveld zit een password policy welke middels formuliervalidatie (en server-side uiteraard) wordt bekrachtigt.
Klaar. Iedereen tevreden,
Ik vind het maar onzin dat je bij alle forums een account moet hebben en als het om email gaat, ik heb een speciaal email adres alleen voor dit soort dingen.
Op mijn werk is het ook verplicht om de 2 maanden met Windows, wel erg irritant. Lopen alle Mint gebruikers nu echt gevaar?
Beveiligingsvraag
Meisjesnaam moeder
Wat een domme vraag denkt de hacker , gaan we wat meisjesnamen typen , tot we eens juist zijn.
Wat de hacker dan vergeten is dat ik hem te slim af was en mijn antwoord op de beveilgingsvraag was:
roze touwen blauwe bananen
Op mijn werk is het ook verplicht om de 2 maanden met Windows, wel erg irritant. Lopen alle Mint gebruikers nu echt gevaar?
Ik heb het bij Windows server edities nog niet anders geweten dat om de twee maand het wachtwoord automatisch moet vernieuwd worden . Hier gaat het dan wel om een bedrijfsnetwerk !
http://www.directadmin.com/
http://www.directadmin.com/versions.php
De hacker vertelt .
http://www.zdnet.com/article/hacker-hundreds-were-tricked-into-installing-linux-mint-backdoor/
Waarmee ik wil aangeven dat de mogelijkheid bestaat dat niet alleen de site van linuxmint.com zou gehackt kunnen zijn , maar andere hostingservers die gebruik maken van DirectAdmin
http://www.directadmin.com/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
