Lek in cms was aanleiding wachtwoordwijziging SIDN

het zal toch niet zo zijn dat ze de wachtwoorden als platte tekst opslaan?
van een organisatie als de SIDN verwacht je minimaal dat ze one-way-encryption gebruiken!

Zoals jullie kunnen lezen in het nieuwsbericht staat er duidelijk:

waardoor 'versleutelde wachtwoorden voor de deelnemerssite toegankelijk waren'


Versleuteld zal in dit geval betekenen dat er een MD5 HASH is gemaakt van het wachtwoord, of via de steeds meer gebruikte methode, een MD5 HMAC HASH welke een salt (sleutel) gebruikt zodat er geen dictionary gebruikt kan worden om de hashes te "kraken".

Plaint text lijkt mij erg onwaarschijnlijk bij een internet bewuste organisatie als SIDN. Ikzelf ben blij met de reactie van SIDN, daar mogen menig organisaties een voorbeeld aannemen.

Erken je fouten, wees eerlijk over je fouten en los ze zo snel mogelijk op.

Deelnemers die nog met hun oude wachtwoord proberen in te loggen worden automatisch doorgestuurd naar een pagina waarop het wachtwoord gewijzigd kan worden.

Ik mag hopen dat er nog een extra beveiliging bij zit, anders kunnen eventuele "gestolen" oude wachtwoorden alsnog gebruikt worden om een nieuw wachtwoord aan te maken.

Er zijn gigantische databases die MD5 hashes bijhouden dus je hoeft helemaal niks te kraken als je een hash in handen hebt.

De fuckup is de CMS dat er van buitenaf direct toegang was tot de database via ht CMS.

Uit het onderzoek bleek dat er 'geen onregelmatigheden hebben plaatsgevonden'. Toch besloot de organisatie alle wachtwoorden van registrars te deactiveren, omdat veel van hen hetzelfde wachtwoord gebruiken voor het domeinregistatiesysteem DRS4.Ik vraag mij af hoeveel mensen wachtwoorden gebruikten als geheim, secret en god? ;)

Eerste hit op google is http://www.program-ace.com/ waar een bedrijf(?) uit de Ukraine het Ace Php Framework presenteerd. Klinkt echt iets als een product waar een miljoenenbedrijf als de SIDN mee in zee zou moeten gaan. Het gaat tenslotte alleen maar om de nationale infrastructuur waar heel .nl op draait.

Tippie van Rob: SIDN, ga in zee met een echte CMS leverancier van vaderlandse bodem in plaats van zo'n vaag PHP scriptje wat voor CMS moet doorgaan. Let ook tevens op de security garanties die een dergelijke leverancier in de vorm van een SLA kan afgeven. Dan neem je security tenminste serieus. Dat doe je niet door uit voorzorg iedereen maar een nieuw wachtwoord te geven. Dat doe je door de wachtwoorden in geen enkel systeem of database plain-text op te slaan.

Toch besloot de organisatie alle wachtwoorden van registrars te deactiveren, omdat veel van hen hetzelfde wachtwoord gebruiken voor het domeinregistatiesysteem DRS4 Ik vraag mij af hoeveel mensen wachtwoorden gebruikten als geheim, secret en god? ;)
Een beetje een programmeur die op veiligheid bedacht is neemt natuurlijk de gebruikersnaam mee in de HASH, zodat die niet opvallen, toch?!

De sidn is in zee met een Nederlands bedrijf voor zover ik weet en voor een stel 'ambtenaren' doen ze het echt niet slecht, de tarieven zijn enorm gedaald de laatste jaren, vergeleken met bv het .EU domein is een .NL domein erg goedkoop.