1Password laat gebruikers op gelekte wachtwoorden checken
Wachtwoordmanager 1Password heeft een nieuwe feature ontwikkeld waarmee gebruikers kunnen kijken of hun wachtwoorden in een database van meer dan 500 miljoen gelekte wachtwoorden voorkomen. De database is beschikbaar gesteld door beveiligingsonderzoeker Troy Hunt en bestaat uit wachtwoordhashes die bij allerlei datalekken zijn gestolen.
1Password-gebruikers met een abonnement hebben nu bij de wachtwoorden die in de wachtwoordmanager zijn opgeslagen de optie "Check Password". Via deze optie wordt er in de database van Hunt gekeken of het wachtwoord daarin voorkomt, zonder dat het wachtwoord naar de onderzoeker of AgileBits wordt gestuurd, de ontwikkelaar van 1Password.
Voor het versturen van het wachtwoord maakt 1Password hier eerst een sha-1-hash van. Vervolgens worden de eerste vijf karakters van deze hash naar de dienst van Hunt gestuurd. Hierna stuurt de server een lijst met gelekte wachtwoordhashes terug die met dezelfde vijf karakters beginnen. 1Password vergelijkt deze lijst lokaal op het systeem van de gebruiker om te zien of die de volledige hash van de gebruiker bevat.
Wanneer er een match is wordt de gebruiker gewaarschuwd. AgileBits benadrukt dat als er via de nieuwe feature een hit wordt gevonden dit niet wil zeggen dat het account van de gebruiker is gecompromitteerd. Het kan zijn dat iemand hetzelfde wachtwoord gebruikt. Toch adviseert AgileBits in deze gevallen om het wachtwoord te wijzigen.
https://www.ctivd.nl/documenten/rapporten/2018/02/13/index
"De dataset bevat gegevens van meer dan honderd miljoen personen, van wie relatief veel Nederlands
ingezetenen. De verwerving van een zodanige hoeveelheid persoonsgegevens brengt een ernstige
privacy-inmenging met zich mee. Het door de diensten (later) zelf opgestelde beleid schrijft voor dat
in dit soort bijzondere gevallen toestemming aan de minister(s) had moeten worden gevraagd."
https://www.ctivd.nl/documenten/rapporten/2018/02/13/index
"De dataset bevat gegevens van meer dan honderd miljoen personen, van wie relatief veel Nederlands
ingezetenen. De verwerving van een zodanige hoeveelheid persoonsgegevens brengt een ernstige
privacy-inmenging met zich mee. Het door de diensten (later) zelf opgestelde beleid schrijft voor dat
in dit soort bijzondere gevallen toestemming aan de minister(s) had moeten worden gevraagd."
Trouwens een automatische reset paswoorden ,zodat je verplicht wordt om een
ander paswoord te nemen,lijkt me een stuk veiliger.
En sinterklaas is de neef van winterklaas ;)
ander paswoord te nemen,lijkt me een stuk veiliger.
Maar dan moet 1Password wel eerst het wachtwoord of zijn hash te zien krijgen om tegen te database te kunnen testen. Dat is minder veilig dan deze methode.
Als die zelfde data door een AIVD MIVD gebruikt wordt dan is het ineens sleepnet en ministriële goedkeuring. Zoiets heet het meten met meerdere maten. Wou je beweren dat Troy Hunt zijn gegevens via zijn eigen werk legaal zijn verkregen?
AIVD en MIVD zijn inlichtingen- en veiligheidsdiensten, die bijzondere bevoegdheden hebben en daardoor zelf bijzondere risico's kunnen vormen, en 1Password is dat niet. 1Password moet zich op de normale manier aan de privacywetgeving houden, AIVD en MIVD worden beoordeeld volgens de regels die voor hun gelden. Er wordt dus met meerdere maten gemeten en dat is volkomen terecht.
De minister heeft niet het soort bevoegdheden over 1Password dat hij wel over AIVD/MIVD heeft. 1Password kan wel degelijk de privecywetgeving overtreden, maar dat valt onder de Autoriteit Persoonsgegevens. De genoemde ministeriële toestemming is domweg niet van toepassing, die kan de minister aan AIVD/MIVD geven, maar niet aan 1Password, dat is geen inlichtingen- en veiligheidsdienst. Daarom is je eerste uitspraak onzin en krijg je daar weerwoord op.
Misschien bedoelde je dat als zelfs AIVD en MIVD zich aan de beperkingen in dat rapport moeten houden dat een partij als 1Password (of wie dan ook) dat helemaal moet. Daar zit wel wat in, maar schrijf dat dan meteen. Je krijgt antwoord op wat je schrijft, niet op wat je ermee bedoelt. Maar zelfs als daar wat in zit ligt een verwijzing naar de AVG meer voor de hand dan naar een rapport over toezicht op inlichtingen- en veiligheidsdiensten.
En sinterklaas is de neef van winterklaas ;)
Het is zo jammer als hier geroeptoeterd wordt zonder argumenten. Je hebt duidelijk niet gelezen, Troy legt heel duidelijk uit hoe het werkt, er zijn geen persoonsgegevens betrokken bij de password check functie. Hij is zelfs transparant over hoe het werkt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
