Freedom Internet controleert of wachtwoorden klanten voorkomen in datalek
Internetprovider Freedom Internet controleert voortaan of de wachtwoorden van nieuwe klanten voorkomen in een bekend datalek. Bij het aanmelden bij de provider moeten klanten een e-mailadres kiezen en een wachtwoord opgeven. Freedom Internet maakt een hash van het wachtwoord en stuurt de eerste vijf karakters van die hash naar datalekzoekmachine Have I Been Pwnd.
"Vervolgens krijgen we van hen alle hashes terug die beginnen met die 5 karakters, gemiddeld zijn dat 478. Wij checken of de hele hash overeenkomt met één van die teruggestuurde hashes. Als dat het geval is kunnen we de gebruiker informeren dat dit wachtwoord voor is gekomen in een datalek", zo laat de provider weten. Die stelt dat het wachtwoord niet wordt gecombineerd met het account of het e-mailadres. Wanneer het wachtwoord in een bekend datalek voorkomt wordt klanten aangeraden die te veranderen.
Reacties (26)
5 hexadecimale karakters. Dat is 5 nibbles van 4 bits of wel 20 bits.
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen.
Je zou ook kunnen zeggen dat je drie tot vier extra alfanumerieke tekens toe moet voegen aan je wachtwoorden bij Freedom Internet om dit 'kadootje' van ze bij Have I Been Pwnd weer teniet te doen.
Regel één op het internet:
#1 Google je eigen wachtwoord niet
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen.
Je zou ook kunnen zeggen dat je drie tot vier extra alfanumerieke tekens toe moet voegen aan je wachtwoorden bij Freedom Internet om dit 'kadootje' van ze bij Have I Been Pwnd weer teniet te doen.
Regel één op het internet:
#1 Google je eigen wachtwoord niet
Goede check hoor, goed idee Freedom. Jammer dat je wachtwoord na die eerste 5 karakters nog heel sterk kan wisselen, zelfs in lengte... :P
Ik moet nog zien dat ze mijn 16+ karakter wachtwoorden achterhalen in afzienbare tijd
Ik moet nog zien dat ze mijn 16+ karakter wachtwoorden achterhalen in afzienbare tijd
Door Anoniem: Goede check hoor, goed idee Freedom. Jammer dat je wachtwoord na die eerste 5 karakters nog heel sterk kan wisselen, zelfs in lengte... :P
Ik moet nog zien dat ze mijn 16+ karakter wachtwoorden achterhalen in afzienbare tijd
Ze sturen de eerste 5 karakters van de hash van het wachtwoord, niet van het wachtwoord zelf.Ik moet nog zien dat ze mijn 16+ karakter wachtwoorden achterhalen in afzienbare tijd
> Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen.
en
> Jammer dat je wachtwoord na die eerste 5 karakters nog heel sterk kan wisselen
Lees nog es goed wat er staat mensen. Freedom knalt heus niet de eerste vijf tekens van jouw wachtwoord naar HIBP. Er wordt een HASH gemaakt, en van -DIE- hash gaan de eerste vijf tekens naar HIBP. M.a.w. niet eens de complete hash van jouw password, Freedom controleert /zelf/ of de complete hash in de set van HIBP staat.
Man man man man man.
en
> Jammer dat je wachtwoord na die eerste 5 karakters nog heel sterk kan wisselen
Lees nog es goed wat er staat mensen. Freedom knalt heus niet de eerste vijf tekens van jouw wachtwoord naar HIBP. Er wordt een HASH gemaakt, en van -DIE- hash gaan de eerste vijf tekens naar HIBP. M.a.w. niet eens de complete hash van jouw password, Freedom controleert /zelf/ of de complete hash in de set van HIBP staat.
Man man man man man.
Door Anoniem: 5 hexadecimale karakters. Dat is 5 nibbles van 4 bits of wel 20 bits.
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen.
Je zou ook kunnen zeggen dat je drie tot vier extra alfanumerieke tekens toe moet voegen aan je wachtwoorden bij Freedom Internet om dit 'kadootje' van ze bij Have I Been Pwnd weer teniet te doen.
Regel één op het internet:
#1 Google je eigen wachtwoord niet
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen.
Je zou ook kunnen zeggen dat je drie tot vier extra alfanumerieke tekens toe moet voegen aan je wachtwoorden bij Freedom Internet om dit 'kadootje' van ze bij Have I Been Pwnd weer teniet te doen.
Regel één op het internet:
#1 Google je eigen wachtwoord niet
Hé, dat is mijn wachtzin!
@Anoniem 15:44 en 15:58(?)
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
Door Anoniem: 5 hexadecimale karakters. Dat is 5 nibbles van 4 bits of wel 20 bits.
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen.
Je zou ook kunnen zeggen dat je drie tot vier extra alfanumerieke tekens toe moet voegen aan je wachtwoorden bij Freedom Internet om dit 'kadootje' van ze bij Have I Been Pwnd weer teniet te doen.
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen.
Je zou ook kunnen zeggen dat je drie tot vier extra alfanumerieke tekens toe moet voegen aan je wachtwoorden bij Freedom Internet om dit 'kadootje' van ze bij Have I Been Pwnd weer teniet te doen.
Was het te veel werk om het korte artikel zelf te lezen ipv alleen de titel?
Ik had graag gezien dat ze die check optioneel hadden gemaakt, desnoods opt-out. Ik heb totaal geen behoefte aan deze check, en het is voor mij wel een extra drempel om naar ze toe te gaan.
Door Anoniem: Goede check hoor, goed idee Freedom. Jammer dat je wachtwoord na die eerste 5 karakters nog heel sterk kan wisselen, zelfs in lengte... :P
Ik moet nog zien dat ze mijn 16+ karakter wachtwoorden achterhalen in afzienbare tijd
Ik moet nog zien dat ze mijn 16+ karakter wachtwoorden achterhalen in afzienbare tijd
Dit is niet wat ze doen. Lees het artikel nog maar eens ;)
Door Anoniem: Ik had graag gezien dat ze die check optioneel hadden gemaakt, desnoods opt-out. Ik heb totaal geen behoefte aan deze check, en het is voor mij wel een extra drempel om naar ze toe te gaan.
Waarom?
Wanneer het wachtwoord in een bekend datalek voorkomt wordt klanten aangeraden die te veranderen.
Als je toch een risicovol wachtwoord wilt blijven gebruiken, dan kan dat nog steeds.
Je hebt dan alleen een extra signaal gekregen.
Wat is daar een drempel aan?
Door Anoniem: @Anoniem 15:44 en 15:58(?)
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
De aanvaller, met toegang tot HIBP of Freedom Internet, checkt de eerste 5 nibbles van de hash van je wachtwoord, en als dat niet matcht slaat deze dit wachtwoord over.
Je maakt het raden van wachtwoorden van Freedom Internet klanten een miljoen keer makkelijker.
De wachtwoorden van Freedom Internet horen alleen ingevoerd te worden op de systemen van Freedom Internet. Daarom controleer je het groene slotje in je browser. De wachtwoorden horen niet, in welke afgeleide vorm dan ook, ingevoerd te worden op een mogelijk onbetrouwbare site. Inlichtingendiensten zijn waarschijnlijk heel blij met deze 'beveiligings' service van Troy Hunt. De eerste 5 nibbles van alle nieuwe klanten van Freedom Internet. Dat maakt hun werk een miljoen keer makkelijker.
Anoniem 15:44
Freedom is nog altijd duurder dan ziggo,
mag ik dat schrijven?
Clarence
mag ik dat schrijven?
Clarence
12-08-2021, 15:07 door
-Peter-
Door Anoniem:
De aanvaller, met toegang tot HIBP of Freedom Internet, checkt de eerste 5 nibbles van de hash van je wachtwoord, en als dat niet matcht slaat deze dit wachtwoord over.
Je maakt het raden van wachtwoorden van Freedom Internet klanten een miljoen keer makkelijker.
De wachtwoorden van Freedom Internet horen alleen ingevoerd te worden op de systemen van Freedom Internet. Daarom controleer je het groene slotje in je browser. De wachtwoorden horen niet, in welke afgeleide vorm dan ook, ingevoerd te worden op een mogelijk onbetrouwbare site. Inlichtingendiensten zijn waarschijnlijk heel blij met deze 'beveiligings' service van Troy Hunt. De eerste 5 nibbles van alle nieuwe klanten van Freedom Internet. Dat maakt hun werk een miljoen keer makkelijker.
Anoniem 15:44
Door Anoniem: @Anoniem 15:44 en 15:58(?)
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
De aanvaller, met toegang tot HIBP of Freedom Internet, checkt de eerste 5 nibbles van de hash van je wachtwoord, en als dat niet matcht slaat deze dit wachtwoord over.
Je maakt het raden van wachtwoorden van Freedom Internet klanten een miljoen keer makkelijker.
De wachtwoorden van Freedom Internet horen alleen ingevoerd te worden op de systemen van Freedom Internet. Daarom controleer je het groene slotje in je browser. De wachtwoorden horen niet, in welke afgeleide vorm dan ook, ingevoerd te worden op een mogelijk onbetrouwbare site. Inlichtingendiensten zijn waarschijnlijk heel blij met deze 'beveiligings' service van Troy Hunt. De eerste 5 nibbles van alle nieuwe klanten van Freedom Internet. Dat maakt hun werk een miljoen keer makkelijker.
Anoniem 15:44
https://en.wikipedia.org/wiki/Hash_function
Ik heb wel een probleem met een deel van het artikel zelf. Wat Freedom internet vertelt of hoe security.nl het presenteert:
Die stelt dat het wachtwoord niet wordt gecombineerd met het account of het e-mailadres. Wanneer het wachtwoord in een bekend datalek voorkomt wordt klanten aangeraden die te veranderen.
Hoe kunnen ze de klant waarschuwen als het wachtwoord niet gecombineerd wordt met het account?
Peter
Door -Peter-:
Ik heb wel een probleem met een deel van het artikel zelf. Wat Freedom internet vertelt of hoe security.nl het presenteert:
Hoe kunnen ze de klant waarschuwen als het wachtwoord niet gecombineerd wordt met het account?
Peter
Ik heb wel een probleem met een deel van het artikel zelf. Wat Freedom internet vertelt of hoe security.nl het presenteert:
Die stelt dat het wachtwoord niet wordt gecombineerd met het account of het e-mailadres. Wanneer het wachtwoord in een bekend datalek voorkomt wordt klanten aangeraden die te veranderen.
Hoe kunnen ze de klant waarschuwen als het wachtwoord niet gecombineerd wordt met het account?
Peter
Er zal bedoeld worden dat HIBP (en eventuele MITMs) geen idee heeft welk account hoort bij welke deel-hash die opgestuurd wordt.
Freedom zelf zal inderdaad wel moeten weten welke accounts horen bij ooit gelekte passwords.
Een mail naar All met " Er zijn onder onze klanten 153 mensen waarvan het password ooit ergens hergebruikt is. Misschien bent U daar één van " is ontzettend zinloos.
Door Anoniem:
De aanvaller, met toegang tot HIBP of Freedom Internet, checkt de eerste 5 nibbles van de hash van je wachtwoord, en als dat niet matcht slaat deze dit wachtwoord over.
Om jou scenario te laten lukken...Door Anoniem: @Anoniem 15:44 en 15:58(?)
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
De eerste 5 karakters van de hash van jouw wachtwoord worden opgestuurd naar HIBP en die sturen dan alle bij hun bekende volledige hashes terug die beginnen met die 5 karakters.
Daarna controleert Freedom Internet weer of jouw volledige hash in dit lijstje voorkomt.
HIBP "weet" dus niet wat de volledige hash van jouw wachtwoord is.
https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity
De aanvaller, met toegang tot HIBP of Freedom Internet, checkt de eerste 5 nibbles van de hash van je wachtwoord, en als dat niet matcht slaat deze dit wachtwoord over.
"ZE" moeten eerst van elk mogelijk wachtwoord een (SHA-1) hash maken om aan de eerste 5 nibbles te komen.
Een volledige SHA-1 is 160 bits dus dat "ZE" al een paar hashes cadeau hebben gekregen van HIBP maakt niet zoveel meer uit. 2^160 to go!
Ervan uitgaand dat HIBP SHA-1 hashes gebruikt:
Maar misschien gebruiken ze betere hashes.
De wachtwoorden van Freedom Internet horen alleen ingevoerd te worden op de systemen van Freedom Internet. Daarom controleer je het groene slotje in je browser. De wachtwoorden horen niet, in welke afgeleide vorm dan ook, ingevoerd te worden op een mogelijk onbetrouwbare site.
Je maakt een nieuw wachtwoord, de nibble wordt één keer doorgegeven, niemand op het internet weet bij welk account het hoort als ze de https al kunnen onderscheppen en als er geen waarschuwing volgt word je nieuwe wachtwoord door Freedom opgeslagen voor gebruik... zeer waarschijnlijk niet als SHA-1 hash.
Inlichtingendiensten zijn waarschijnlijk heel blij met deze 'beveiligings' service van Troy Hunt. De eerste 5 nibbles van alle nieuwe klanten van Freedom Internet. Dat maakt hun werk een miljoen keer makkelijker.
Anoniem 15:44
Ik denk dat inlichtingendiensten gewoon bij Freedom binnenstappen met een rechtelijk bevel als ze jouw wachtwoord willen weten...Anoniem 15:44
Door Anoniem: Er zal bedoeld worden dat HIBP (en eventuele MITMs) geen idee heeft welk account hoort bij welke deel-hash die opgestuurd wordt.
Dat staat gewoon in de database van het CIOT. Daar kan waarschijnlijk iedere politieagent bij en zeker de inlichtingendiensten. Databases slim samenvoegen en daar conclusies uit halen. Dat is wat inlichtingendiensten het beste kunnen.
Anoniem 15:44
Door Anoniem:
Dat staat gewoon in de database van het CIOT. Daar kan waarschijnlijk iedere politieagent bij en zeker de inlichtingendiensten. Databases slim samenvoegen en daar conclusies uit halen. Dat is wat inlichtingendiensten het beste kunnen.
Anoniem 15:44
Door Anoniem: Er zal bedoeld worden dat HIBP (en eventuele MITMs) geen idee heeft welk account hoort bij welke deel-hash die opgestuurd wordt.
Dat staat gewoon in de database van het CIOT. Daar kan waarschijnlijk iedere politieagent bij en zeker de inlichtingendiensten. Databases slim samenvoegen en daar conclusies uit halen. Dat is wat inlichtingendiensten het beste kunnen.
Anoniem 15:44
Nee , in de CIOT databases staan geen password hashes.
Daarin staan IP-tijdstip-NAW mappings, en telefoonnummer-NAW mappings .
Je blijft klungelen.
Door Anoniem:
Nee , in de CIOT databases staan geen password hashes.
Daarin staan IP-tijdstip-NAW mappings, en telefoonnummer-NAW mappings .
Je blijft klungelen.
Door Anoniem:
Dat staat gewoon in de database van het CIOT. Daar kan waarschijnlijk iedere politieagent bij en zeker de inlichtingendiensten. Databases slim samenvoegen en daar conclusies uit halen. Dat is wat inlichtingendiensten het beste kunnen.
Anoniem 15:44
Door Anoniem: Er zal bedoeld worden dat HIBP (en eventuele MITMs) geen idee heeft welk account hoort bij welke deel-hash die opgestuurd wordt.
Dat staat gewoon in de database van het CIOT. Daar kan waarschijnlijk iedere politieagent bij en zeker de inlichtingendiensten. Databases slim samenvoegen en daar conclusies uit halen. Dat is wat inlichtingendiensten het beste kunnen.
Anoniem 15:44
Nee , in de CIOT databases staan geen password hashes.
Daarin staan IP-tijdstip-NAW mappings, en telefoonnummer-NAW mappings .
Je blijft klungelen.
Op dag 1 heeft Freedom Internet de IP adressen {A, B, C, D en E}.
Op dag 2 heeft Freedom Internet de IP adressen {A, B, C, E en F}.
Op dag 2 is er een nieuwe klant bijgekomen. Dat is dus die met IP adres {F}. Zijn er meerdere nieuwe klanten bijgekomen, geen probleem. Probeer ze gewoon allemaal.
Ik had het over databases slim samenvoegen. Dit is slim samenvoegen.
Anoniem 15:44
Dus eigenlijk lekken ze bewust inloggegevens van hun klanten naar derden.
Een hash kan gekraakt worden dus de zoekmachine hoeft alleen maar de hash te kraken (of te bewaren tot een moment dat deze wel snel te kraken is) en verzamelt over tijd dus veel gebruikte logins per individue; van de halve wereldbevolking.
Een hash kan gekraakt worden dus de zoekmachine hoeft alleen maar de hash te kraken (of te bewaren tot een moment dat deze wel snel te kraken is) en verzamelt over tijd dus veel gebruikte logins per individue; van de halve wereldbevolking.
Door Anoniem: 5 hexadecimale karakters. Dat is 5 nibbles van 4 bits of wel 20 bits.
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen..
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen..
Een aanvaller heeft die 5 tekens niet, tenzij dat een insider bij freedom of hibp is of een mitm tussen freedom en hibp (als freedom niet al gewoon een copietje van de database lokaal heeft gecached). Freedom weet je ww al, dat heb je ze namelijk al gegeven.
Daarnaast is die hash ook veel groter dan die 5 hex-tekens. Daar wordt je ww niet mee geraden, dan heb je de rest van de hash ook nodig en heel veel rekencapaciteit. Maar er is voldoende over uitgelegd in verschillende blogs, zoek dat eerst maar eens op.
Door Anoniem: Inlichtingendiensten zijn waarschijnlijk heel blij met deze 'beveiligings' service van Troy Hunt. De eerste 5 nibbles van alle nieuwe klanten van Freedom Internet. Dat maakt hun werk een miljoen keer makkelijker.
Ze moeten dan nog steeds miljarden hashes genereren en die reversen naar een wachtwoord dat die hashes opleveren. Daar moeten ze dan nog de juiste uithalen via bruteforce inloggen bij freedom. En jij denkt dat die dat niet merken? Ow en als je denkt dat ze de complete hashes bij freedom kunnen krijgen, dan is er wat anders heel erg mis.
Door Anoniem: Freedom is nog altijd duurder dan ziggo,
mag ik dat schrijven?
Dat mag je best schrijven.mag ik dat schrijven?
Door Anoniem:
Als het goed is heeft freedom alleen een hash van je ww. Voor de inlichtingendiensten, kunnen ze natuurlijk jouw wachtwoord wel doorsturen op het moment dat je inlogt (tenminste, het wachtwoord wat jij intikt, maar met een fout wachtwoord, krijg jij geen toegang). Door Anoniem: Inlichtingendiensten zijn waarschijnlijk heel blij met deze 'beveiligings' service van Troy Hunt. De eerste 5 nibbles van alle nieuwe klanten van Freedom Internet. Dat maakt hun werk een miljoen keer makkelijker.
Ik denk dat inlichtingendiensten gewoon bij Freedom binnenstappen met een rechtelijk bevel als ze jouw wachtwoord willen weten...Uiteraard heeft een inlichtingendienst je ww helemaal niet nodig als ze jou mail willen hebben, die kan freedom ze ook zo geven, ook zonder jouw wachtwoord.
Dat zal freedom alleen doen, als dat van de rechter echt moet (verwacht ik), maar er kan daar natuurlijk ook een mitm zitten, die het aan z'n vriendjes doorgeeft (dat kan natuurlijk overal gebeuren, hoewel niet een waarschijnlijk scenario).
Door Anoniem:
Een aanvaller heeft die 5 tekens niet, tenzij dat een insider bij freedom of hibp is of een mitm tussen freedom en hibp (als freedom niet al gewoon een copietje van de database lokaal heeft gecached). Freedom weet je ww al, dat heb je ze namelijk al gegeven.
Daarnaast is die hash ook veel groter dan die 5 hex-tekens. Daar wordt je ww niet mee geraden, dan heb je de rest van de hash ook nodig en heel veel rekencapaciteit. Maar er is voldoende over uitgelegd in verschillende blogs, zoek dat eerst maar eens op.
Door Anoniem: 5 hexadecimale karakters. Dat is 5 nibbles van 4 bits of wel 20 bits.
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen..
10 bits is 1024, 20 bits is 1048576 mogelijkheden.
Toch lief van Freedom Internet dat ze de zoekruimte voor een aanvaller met een factor miljoen verminderen..
Een aanvaller heeft die 5 tekens niet, tenzij dat een insider bij freedom of hibp is of een mitm tussen freedom en hibp (als freedom niet al gewoon een copietje van de database lokaal heeft gecached). Freedom weet je ww al, dat heb je ze namelijk al gegeven.
Daarnaast is die hash ook veel groter dan die 5 hex-tekens. Daar wordt je ww niet mee geraden, dan heb je de rest van de hash ook nodig en heel veel rekencapaciteit. Maar er is voldoende over uitgelegd in verschillende blogs, zoek dat eerst maar eens op.
Ik kan lezen wat ik wil, maar het verandert niets aan het feit dat Freedom Internet 20 bits aan entropie van je wachtwoord voor Freedom Internet lekt.
Ik zie na wat lezen dat Troy Hunt ook gratis gebruik mag maken van Cloudflare. Hetzelfde bedrijf waar security.nl in 2017 mee stopte. Als Cloudflare niet veilig genoeg is voor je security.nl account, waarom is het dan wel veilig genoeg voor je hoofdwachtwoord bij Freedom Internet?
En waarom gebruikt Troy Hunt SHA-1 terwijl iedereen stopt met SHA-1? Inclusief Microsoft, GnuPG en Mozilla?
Ik zie op de site van Troy Hunt dat je de hele wachtwoorddatabase van 8,7 GB als torrent kan downloaden, wat het sturen van de eerste 5 nibbles helemaal overbodig zou maken.
Het hart van Freedom Internet zit op de goede plaats. Maar ik vind dit een grote blunder voor een provider waar ik het gebruik van zou overwegen. Bovendien herinner ik me dat ze de e-mail om zeep helpen door geblunder met SPF en dergelijke.
Freedom Internet != XS4All
Anoniem 15:44
Door Anoniem:
Ik kan lezen wat ik wil, maar het verandert niets aan het feit dat Freedom Internet 20 bits aan entropie van je wachtwoord voor Freedom Internet lekt.
Klopt... ze "lekken" 20 bits waar een aanvaller niks mee kan zoals je hierboven verschillende keren kunt lezen.Ik kan lezen wat ik wil, maar het verandert niets aan het feit dat Freedom Internet 20 bits aan entropie van je wachtwoord voor Freedom Internet lekt.
En waarom gebruikt Troy Hunt SHA-1 terwijl iedereen stopt met SHA-1? Inclusief Microsoft, GnuPG en Mozilla?
Omdat SHA-1 goed genoeg is voor het doel waarvoor hij het gebruikt?Het hart van Freedom Internet zit op de goede plaats. Maar ik vind dit een grote blunder voor een provider waar ik het gebruik van zou overwegen. Bovendien herinner ik me dat ze de e-mail om zeep helpen door geblunder met SPF en dergelijke.
E-mail om zeep door geblunder met SPF? Vertel...Freedom Internet != XS4All
Anoniem 15:44
XS4ALL == KPNAnoniem 15:44
Door Anoniem:
Door Anoniem:
En waarom gebruikt Troy Hunt SHA-1 terwijl iedereen stopt met SHA-1? Inclusief Microsoft, GnuPG en Mozilla?
Omdat SHA-1 goed genoeg is voor het doel waarvoor hij het gebruikt?En waarom gebruikt Troy Hunt SHA-1 terwijl iedereen stopt met SHA-1? Inclusief Microsoft, GnuPG en Mozilla?
Ze hoeven alleen de API aan te passen om SHA-256 te gebruiken en dat is een makkelijke wijziging omdat het alleen een functie is die veranderd hoeft te worden. SHA-256 is nog niet gebroken en anders heb je altijd nog SHA-3.
Het hart van Freedom Internet zit op de goede plaats. Maar ik vind dit een grote blunder voor een provider waar ik het gebruik van zou overwegen. Bovendien herinner ik me dat ze de e-mail om zeep helpen door geblunder met SPF en dergelijke.
E-mail om zeep door geblunder met SPF? Vertel...Mijn zusje was nogal enthousiast over Freedom Internet en ik ben toen op de site van hen gaan kijken. Er stond iets in de trant van 'We droppen alle mail zonder een SPF=pass'. Dat betekent dat een deel van je mail in de bitbucket gaat. Op het forum van Freedom Internet staan ook veel problemen met mail die in de spambox terecht komt en blijft komen wat je ook doet.
Freedom Internet != XS4All
Anoniem 15:44
XS4ALL == KPNAnoniem 15:44
Er is niets mis met KPN. Freedom internet is ook KPN vanaf de splitter je woning uit.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
