Privacy
- Wat niemand over je mag weten
Door Admin geblokkeerde wachtwoordwijziging
25-08-2017, 10:45 door [Account Verwijderd], 18 reacties
Bij ons in het bedrijf is de mogelijkheid om je persoonlijke wachtwoord voor inlog op werkstation en netwerk te wijzigen geblokkeerd.
Mag dat en bovendien zonder kennisgeving aan de werknemers?
Ik verander uit veiligheidsoverwegingen regelmatig mijn wachtwoord en nu moet ik dat dus laten doen door de Admin? Wat is dan het nut van een account wachtwoord?
Als er iets onregelmatig gebeurd in of met misbruik door iemand anders van mijn account hoe kan ik dan bewijzen dat ik dat niet gedaan heb? Volgens mij niet (meer)
Sta ik juridisch gezien dan niet zwak?
Kortom allemaal vragen over een volgens mij vreemde gang van zaken.
Mag dat en bovendien zonder kennisgeving aan de werknemers?
Ik verander uit veiligheidsoverwegingen regelmatig mijn wachtwoord en nu moet ik dat dus laten doen door de Admin? Wat is dan het nut van een account wachtwoord?
Als er iets onregelmatig gebeurd in of met misbruik door iemand anders van mijn account hoe kan ik dan bewijzen dat ik dat niet gedaan heb? Volgens mij niet (meer)
Sta ik juridisch gezien dan niet zwak?
Kortom allemaal vragen over een volgens mij vreemde gang van zaken.
Reacties (18)
Vanuit informatie beveiliging perspectief inderdaad bijzonder vreemd, los van of het mag of niet. De organisatie kan er nu niet meer vanuit gaan dat activiteiten die onder jou account zijn uitgevoerd echt door jou zijn gedaan. De administrator kent immers je wachtwoord.
Hiermee kan de administrator alle functiescheiding binnen de organisatie doorbreken, zonder dat dit naar hem getraceerd kan worden, als dit voor alle accounts geldt.
Hiermee kan de administrator alle functiescheiding binnen de organisatie doorbreken, zonder dat dit naar hem getraceerd kan worden, als dit voor alle accounts geldt.
Wat zegt je leidinggevende hierover?
Wat staat hierover in het bedrijfsreglement of gedragscode
Wat staat hierover in het bedrijfsreglement of gedragscode
25-08-2017, 12:36 door
Whacko
Door Anoniem: Vanuit informatie beveiliging perspectief inderdaad bijzonder vreemd, los van of het mag of niet. De organisatie kan er nu niet meer vanuit gaan dat activiteiten die onder jou account zijn uitgevoerd echt door jou zijn gedaan. De administrator kent immers je wachtwoord.
Hiermee kan de administrator alle functiescheiding binnen de organisatie doorbreken, zonder dat dit naar hem getraceerd kan worden, als dit voor alle accounts geldt.
Nee hoor, hierdoor sta je juist hartstikke sterk. Jij kunt niks wijzigen vanwege bedrijfspolicy, dus moeten zij maar aantoenen dat jij iets hebt gedaan. De bewijslast ligt dus bij hun. Hiermee kan de administrator alle functiescheiding binnen de organisatie doorbreken, zonder dat dit naar hem getraceerd kan worden, als dit voor alle accounts geldt.
Afgezien daarvan, "Ik verander uit veiligheidsoverwegingen regelmatig mijn wachtwoord". Het Amerikaanse NIST, dat deze veiligheidsmaatregel ooit heeft verzonnen heeft dit weer teruggetrokken. Dit omdat hoewel het in theorie een goede methode is om vaak een ander wachtwoord te hebben, het in de praktijk te vaak voorkomt dat mensen wachtwoorden kiezen die lijken op het oude omdat steeds een nieuw wachtwoord onthouden erg lastig is.
De nieuwe aanbeveling is juist om hele lange wachtwoorden te gebruiken zoals de bekende xkcd comic over entropy, en deze alleen te wijzigen als er een vermoeden is dat het wachtwoord gecompromitteerd is. zo voorkom je voorspelbaarheid van wachtwoorden.
Bij ons in het bedrijf is de mogelijkheid om je persoonlijke wachtwoord voor inlog op werkstation en netwerk te wijzigen geblokkeerd.
Mag dat en bovendien zonder kennisgeving aan de werknemers?
Wellicht dat de wetgever er anders over denkt, maar "mijn netwerk, mijn regels" zegt dat als een administrator zoiets doet dan mag dat gewoon, tenzij er in de relevante policies iets anders staat. Dus je kan die er eens op naslaan.Mag dat en bovendien zonder kennisgeving aan de werknemers?
Maar het kan wellicht ook nog een foutje zijn geweest, dus je zou de administrator eens kunnen vragen wat er aan de hand is en als expres, wat dan de gedachte erachter is. Wellicht leuk om dat ook hier nog even te vertellen.
Door Whacko:
Afgezien daarvan, "Ik verander uit veiligheidsoverwegingen regelmatig mijn wachtwoord". Het Amerikaanse NIST, dat deze veiligheidsmaatregel ooit heeft verzonnen heeft dit weer teruggetrokken. Dit omdat hoewel het in theorie een goede methode is om vaak een ander wachtwoord te hebben, het in de praktijk te vaak voorkomt dat mensen wachtwoorden kiezen die lijken op het oude omdat steeds een nieuw wachtwoord onthouden erg lastig is.
Dit gaat niet over het zelf uit eigen beweging (willen) veranderen van het wachtwoord, maar over het ooit gegeven advies om af te dwingen dat gebruikers om de zoveel tijd hun wachtwoord MOETEN wijzigen.Afgezien daarvan, "Ik verander uit veiligheidsoverwegingen regelmatig mijn wachtwoord". Het Amerikaanse NIST, dat deze veiligheidsmaatregel ooit heeft verzonnen heeft dit weer teruggetrokken. Dit omdat hoewel het in theorie een goede methode is om vaak een ander wachtwoord te hebben, het in de praktijk te vaak voorkomt dat mensen wachtwoorden kiezen die lijken op het oude omdat steeds een nieuw wachtwoord onthouden erg lastig is.
(inclusief draconische eisen zoals "het mag niet een van de vorige 20 wachtwoorden zijn" en "je mag het wachtwoord niet binnen een dag WEER wijzigen")
Dat is het soort van maatregelen dat contraproductief werkt omdat de mensen het wachtwoord niet meer kunnen onthouden en dus maar opschrijven.
Als er geen alternatief geboden wordt anders dan een actie die door een andere gebruiker / beheerder moet plaatsvinden lijkt me dat niet in orde.
Bij ons is het wijzigen via ctrl-alt-del geblokkeerd maar is er wel een wachtwoord recovery site waar een nieuw wachtwoord ingesteld kan worden.
Bij ons is het wijzigen via ctrl-alt-del geblokkeerd maar is er wel een wachtwoord recovery site waar een nieuw wachtwoord ingesteld kan worden.
25-08-2017, 14:37 door
User2048
Door NedFox:Bij ons is het wijzigen via ctrl-alt-del geblokkeerd...
Wat is daar de reden voor? Is er een risico verbonden aan de ctrl-alt-del methode?Door User2048:
Een reden kan zijn dat je een gemengde samba/nis/etc. winkel hebt en dat als je dan via windows probeert je centrale wachtwoord te wijzigen dit een synchronisatieprobleem oplevert. (Ooit gehad en dat werd opgelost met een cgi script op de auth server. Je kon dus wel je wachtwoord wijzigen, alleen niet op de "ingebouwde" manier.)Door NedFox:Bij ons is het wijzigen via ctrl-alt-del geblokkeerd...
Wat is daar de reden voor? Is er een risico verbonden aan de ctrl-alt-del methode?
25-08-2017, 15:19 door
sjonniev
Waar het om gaat dat een persoonlijk gebruikerswachtwoord alleen bekend mag zijn bij die gebruiker. Wanneer er een wachtwoord door een systeembeheerder aan een gebruiker wordt toegekend, zonder dat bij eerste gebruik deze gewijzigd moet worden, volstaat de Windows logging niet om bepaalde activiteiten aan een bepaalde gebruiker toe te wijzen. Dit wordt extralastig wanneer systeembeheerder en gebruiker zich in hetzelfde kantoor bevinden wanneer bepaalde activiteiten plaatsvinden. Het wordt helemaal leuk wanneer de systeembeheerder instaat is het (VPN-)ipadres van een thuisgebruiker te spoofen.
Door sjonniev: Waar het om gaat dat een persoonlijk gebruikerswachtwoord alleen bekend mag zijn bij die gebruiker. Wanneer er een wachtwoord door een systeembeheerder aan een gebruiker wordt toegekend, zonder dat bij eerste gebruik deze gewijzigd moet worden, volstaat de Windows logging niet om bepaalde activiteiten aan een bepaalde gebruiker toe te wijzen. Dit wordt extralastig wanneer systeembeheerder en gebruiker zich in hetzelfde kantoor bevinden wanneer bepaalde activiteiten plaatsvinden. Het wordt helemaal leuk wanneer de systeembeheerder instaat is het (VPN-)ipadres van een thuisgebruiker te spoofen.
Als je threat-model een systeembeheerder is die een gebruiker wil framen , waarom denk je dat 'gebruiker mag zelf password wijzigen' iets helpt ?
De beheerder die bereid en in staat is vpn access te spoofen kan ook echt wel een password hash ergens overschrijven en weer terugschrijven .
Bij ons in het bedrijf is de mogelijkheid om je persoonlijke wachtwoord voor inlog op werkstation en netwerk te wijzigen geblokkeerd. Mag dat en bovendien zonder kennisgeving aan de werknemers?
Natuurlijk mag dat, indien de werkgever dit als beleid wil. Of het verstandig is, dat is een heel ander verhaal. Wat dat betreft zou je een discussie kunnen aangaan over de zin van deze maatregel.
Ik verander uit veiligheidsoverwegingen regelmatig mijn wachtwoord en nu moet ik dat dus laten doen door de Admin?
Vanuit het oogpunt van non-repudiation zou de admin je wachtwoord helemaal niet moeten/willen weten. Alleen jij moet je wachtwoord kennen. Welke redenen voert men aan voor dit beleid ?
25-08-2017, 16:59 door
sjonniev
Door Anoniem:
Als je threat-model een systeembeheerder is die een gebruiker wil framen , waarom denk je dat 'gebruiker mag zelf password wijzigen' iets helpt ?
De beheerder die bereid en in staat is vpn access te spoofen kan ook echt wel een password hash ergens overschrijven en weer terugschrijven .
Door sjonniev: Waar het om gaat dat een persoonlijk gebruikerswachtwoord alleen bekend mag zijn bij die gebruiker. Wanneer er een wachtwoord door een systeembeheerder aan een gebruiker wordt toegekend, zonder dat bij eerste gebruik deze gewijzigd moet worden, volstaat de Windows logging niet om bepaalde activiteiten aan een bepaalde gebruiker toe te wijzen. Dit wordt extralastig wanneer systeembeheerder en gebruiker zich in hetzelfde kantoor bevinden wanneer bepaalde activiteiten plaatsvinden. Het wordt helemaal leuk wanneer de systeembeheerder instaat is het (VPN-)ipadres van een thuisgebruiker te spoofen.
Als je threat-model een systeembeheerder is die een gebruiker wil framen , waarom denk je dat 'gebruiker mag zelf password wijzigen' iets helpt ?
De beheerder die bereid en in staat is vpn access te spoofen kan ook echt wel een password hash ergens overschrijven en weer terugschrijven .
Mee eens. Daarom was ik altijd zo'n fan van smart cards, als enige plek voor je private key voor authenticatie.
Ik kan je het boek " Only The Paranoid Survive " van voormalig Intel Ceo aanraden. Het was tevens de geliefde uitspraak van Roel Pieper voormalig topman van Philips in hoogtij dagen, die 3 keer is neergestoken, zijn vrouw was neergestoken, en zijn zoon is helaas later ook nog door een beste vriend neergestoken.
Roel Pieper was zeer succesvol in Amerika, maar in Nederland is er geen plek voor dit type mensen. Roel leeft nu veilig in Monaco, maar heeft nog wel advocaten achter zich aan met een vordering van enkele miljoenen.
Maar ja, het is echt waar, in de IT is het spreekwoord, ' Only The Paranoid Survive ', maar tot dat besef kom je pas als het te laat is, zoals bij Roel, voormalig topman bij Philips, Nederlands trots.
En denk niet dat Roel verkeerd deed, hij verdedigde slechts Nederlandse belangen tegen iets waar alleen overgave de enige optie is.
Of eindig zoals Roel, in Monaco als protoge van de koning van Monaco maar toch je geliefde land, Nederland moeten missen.
Roel Pieper was zeer succesvol in Amerika, maar in Nederland is er geen plek voor dit type mensen. Roel leeft nu veilig in Monaco, maar heeft nog wel advocaten achter zich aan met een vordering van enkele miljoenen.
Maar ja, het is echt waar, in de IT is het spreekwoord, ' Only The Paranoid Survive ', maar tot dat besef kom je pas als het te laat is, zoals bij Roel, voormalig topman bij Philips, Nederlands trots.
En denk niet dat Roel verkeerd deed, hij verdedigde slechts Nederlandse belangen tegen iets waar alleen overgave de enige optie is.
Of eindig zoals Roel, in Monaco als protoge van de koning van Monaco maar toch je geliefde land, Nederland moeten missen.
Dank, dank, allen die hier reageren! Dit is echt Security.nl op zijn best! Werkelijk!
Excuses dat ik zo laat reageer! En dan blijkt ook dat er helemaal geen sprake is van opzet!
Tijdens de set-up / migratie naar een nieuwe server, een kleine twee maanden geleden, blijkt dit Password management/setup op een of andere manier niet goed geconfigureerd o.i.d.
Er is dus absoluut geen sprake van enige opzettelijkheid.
Nogmaals: dank dat zovelen hebben meegedacht, want het is dan toch een klein naslagwerkje geworden voor het geval zoiets eens gebeurd maar dan om een 'andere' reden.
Excuses dat ik zo laat reageer! En dan blijkt ook dat er helemaal geen sprake is van opzet!
Tijdens de set-up / migratie naar een nieuwe server, een kleine twee maanden geleden, blijkt dit Password management/setup op een of andere manier niet goed geconfigureerd o.i.d.
Er is dus absoluut geen sprake van enige opzettelijkheid.
Nogmaals: dank dat zovelen hebben meegedacht, want het is dan toch een klein naslagwerkje geworden voor het geval zoiets eens gebeurd maar dan om een 'andere' reden.
Door User2048:
Door NedFox:Bij ons is het wijzigen via ctrl-alt-del geblokkeerd...
Wat is daar de reden voor? Is er een risico verbonden aan de ctrl-alt-del methode?Bij ons is IDM (NetIQ) leidend. Alle systemen die via IDM gelinked zijn worden vanuit IDM gevoed; Centrale AD ook, en ook de gelinkte AD's van andere scholen.
IDM is dus de spin in het web en is het enige systeem dat wachtwoorden "voedt" naar de andere , zoals leerlingvolgsysteem, O365, ELO's en nog veel meer.
Het is dus een keuze om alleen via een SSPR site de wachtwoorden te resetten. Het levert meteen extra mogelijkheden op, om bv een ww reset via sms te doen bij geregistreerde telefoons en dergelijke.
Het is dus een keuze om alleen via een SPR site de wachtwoorden te resetten.
Door Anoniem:
Het is dus een keuze om alleen via een SPR site de wachtwoorden te resetten.Wel even op het volgende letten dan: https://www.security.nl/posting/528858/Securitybedrijf+waarschuwt+voor+wachtwoordreset+bij+BitLocker-systemen
Dat staat dus bij ons uit :) Gebruikers krijgen dus ook geen SSPR link op hun inlogscherm want deze hele hap staat uitgeschakeld.Het is dus een keuze om alleen via een SPR site de wachtwoorden te resetten.
Ze kunnen het wel via hun mobieltje e.d.
Door Aha:
Alle IT administrators kunnen per definitie je account paswoord veranderen zoals ze dat willen. Wat ze echter moeilijk kunnen is juist waar je dit topic over spreekt, als je je paswoord veranderd, kunnen ze dat wel overschrijven zoals ze willen en je account gebruiken naar wil, maar jouw paswoord terug zetten kan alleen technisch op een algoritme hash code of door jouw paswoord verandering bij te houden. Denk bijvoorbeeld aan gewone niet administratie accounts, het is erg makkelijk om die aan te passen of te gebruiken als admin, kwaadwillenden zou je niet buiten de deur houden met een eigen paswoord veranderen mogelijkheid ook niet onder Linux of BSD. Je bent immers geen admin.Dank, dank, allen die hier reageren! Dit is echt Security.nl op zijn best! Werkelijk!
Excuses dat ik zo laat reageer! En dan blijkt ook dat er helemaal geen sprake is van opzet!
Tijdens de set-up / migratie naar een nieuwe server, een kleine twee maanden geleden, blijkt dit Password management/setup op een of andere manier niet goed geconfigureerd o.i.d.
Er is dus absoluut geen sprake van enige opzettelijkheid.
Nogmaals: dank dat zovelen hebben meegedacht, want het is dan toch een klein naslagwerkje geworden voor het geval zoiets eens gebeurd maar dan om een 'andere' reden.
Excuses dat ik zo laat reageer! En dan blijkt ook dat er helemaal geen sprake is van opzet!
Tijdens de set-up / migratie naar een nieuwe server, een kleine twee maanden geleden, blijkt dit Password management/setup op een of andere manier niet goed geconfigureerd o.i.d.
Er is dus absoluut geen sprake van enige opzettelijkheid.
Nogmaals: dank dat zovelen hebben meegedacht, want het is dan toch een klein naslagwerkje geworden voor het geval zoiets eens gebeurd maar dan om een 'andere' reden.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
