Lagrer 10.000 studenters passord i klartekst

[Gjest Marius B. Jørgenrud]

Jobber med en fiks kort tid før GDPR-fristen.

Lagrer 10.000 studenters passord i klartekst

[Olav48]

Å lagre passord i klartekst, er så utilgivelig at hoder burde rulle. Og å i det hele tatt nevne GDPR som årsak til at det nå blir tatt tak i, er forstummende. Når det virkelig kan svi for dem selv, da blir brukerne ivaretatt. Da er det vel over til MD5 nå da

[XIFXEGLO]

Hvordan skjer dette?

 

Inkompetanse?

 

Lureri?

 

Fra artikkelen virker det som at de har satt ut dette til en ekstern aktør, men jeg nekter å tro at en som får betalt for å programmere nettsider ikke har kjennskap til de åpenbare svakhetene med å lagre passord i klartekst.

 

Så da står vi igjen med lureri: Innlogging programmeres på enkleste måte, på boksavelig talt 10 minutter, mens man fakturerer for en mer passelig arbeidsmengde; noen dager, kanskje mer. Sluttkunden har ingen kompedanse til å vurdere om arkitekturen holder mål, så derfor slipper man unna med det, og ler hele veien til banken.  

[-Night-]

Det finnes også norske studenttjenester som gjør dette....

[Sandormen]

Hva skal man med passordinnlogging, når man tydeligvis ikke behøver passordinnlogging. ?

[StianM7]

Selv om utsendelse av passord i klartekst sikkerhetsmessig ikke holder mål, så betyr vel ikke det nødvendigvis at passordene også er lagret i klartekst?

[Emancipate]

Selv om utsendelse av passord i klartekst sikkerhetsmessig ikke holder mål, så betyr vel ikke det nødvendigvis at passordene også er lagret i klartekst?

Nå gikk det helt rundt for meg.

 

Hvis de ikke er lagret i klartekst, må de være kryptert, og for å få sendt passordet, må det dekrypteres, dvs. at nøkkelen er i kontakt med passordet.

 

Mao, klarer de å bryte seg inn og ta de krypterte passordene, klarer de nok også å ta nøkkelen - eller endre på alle sine epost-adresser, så de kan få mailet passordet til seg selv. Så dette er jevngodtdårlig med klartekst.

Endret 12. mai 2018 av Emancipate

[Gjest Slettet-t8fn5F]

Selv om utsendelse av passord i klartekst sikkerhetsmessig ikke holder mål, så betyr vel ikke det nødvendigvis at passordene også er lagret i klartekst?

Er passordene kryptert i databasen, så skal man i utgangspunktet ikke finne frem til passordet i klartekst.

[Bolson]

 

Selv om utsendelse av passord i klartekst sikkerhetsmessig ikke holder mål, så betyr vel ikke det nødvendigvis at passordene også er lagret i klartekst?

Nå gikk det helt rundt for meg.

 

Hvis de ikke er lagret i klartekst, må de være kryptert, og for å få sendt passordet, må det dekrypteres, dvs. at nøkkelen er i kontakt med passordet.

 

Mao, klarer de å bryte seg inn og ta de krypterte passordene, klarer de nok også å ta nøkkelen - eller endre på alle sine epost-adresser, så de kan få mailet passordet til seg selv. Så dette er jevngodtdårlig med klartekst.

Og realiteten er jo at kan man sende passordene i epost så er de lagret i klartekst. Man bruker jo ikke kryptering på passord, men enveis hashing og salting. Kryptering er ikke regnet som trygt akkurat pga det du peker på - nøkkel på avveie. Enveis hashing + salt + nøkkelstrekking (f.eks PBKDF2) - ja da er man på vei!

 

Personlig mener jeg ANSA bør kaste leverandøren ut døra når den surrer med slikt.

[HK76]

Selv om utsendelse av passord i klartekst sikkerhetsmessig ikke holder mål, så betyr vel ikke det nødvendigvis at passordene også er lagret i klartekst?

 

Jo. For hvis ikke passordene var lagret i klartekst, ville ikke løsningen kunne hente frem passordet og sende det på epost.

[nomore]

Eller så ligger de lagret med reverserbar kryptering.