Ben.nl slaat wachtwoorden in plain-text op.

[Wiejeben]

Hallo Tweakers,

Ik ben er achtergekomen dat Ben.nl zijn wachtwoorden in plain-text opslaat, dus zonder encrypt.
Ik ben hier achter gekomen door via "Wachtwoord vergeten?" mijn wachtwoord op te vragen, hierbij moet je jouw 06 nummer invoeren en vervolgens word er per mail jouw wachtwoord opgestuurd.

Hier schrok ik nog al van, een bedrijf met zoveel klanten waarvan al hun wachtwoorden ge-encrypt zijn opgeslagen. Ik ga hier vanuit omdat ze me zo mijn wachtwoord kunnen terughalen, er hoef dus maar 1 iemand te zijn die in de database kan komen en die heeft er een paar duizend contact gegevens met wachtwoorden en al er bij.

Met vriendelijke groet,
Maarten

[Anoniem: 454708]

Wiejeben schreef op zaterdag 12 mei 2012 @ 21:03:
Hallo Tweakers,

Ik ben er achtergekomen dat Ben.nl zijn wachtwoorden in plain-text opslaat, dus zonder encrypt.
Ik ben hier achter gekomen door via "Wachtwoord vergeten?" mijn wachtwoord op te vragen, hierbij moet je jouw 06 nummer invoeren en vervolgens word er per mail jouw wachtwoord opgestuurd.

Hier schrok ik nog al van, een bedrijf met zoveel klanten waarvan al hun wachtwoorden ge-encrypt zijn opgeslagen. Ik ga hier vanuit omdat ze me zo mijn wachtwoord kunnen terughalen, er hoef dus maar 1 iemand te zijn die in de database kan komen en die heeft er een paar duizend contact gegevens met wachtwoorden en al er bij.

Met vriendelijke groet,
Maarten

ehh....

dat je je wachtwoord kan opvragen betekend in jou ogen dus dat het in plain text is opgeslagen?

[Xepos]

Ze kunnen het toch weer ongehashed in de email zetten?

[Keiichi]

Mcctje schreef op zaterdag 12 mei 2012 @ 21:10:
Ze kunnen het toch weer ongehashed in de email zetten?

Het idee van hashing is dat het 1-way is. Dus eigenlijk: neen.

[Thralas]

Heb je al contact gezocht met Ben?

[Morrar]

Beetje sterke aanname... Dat ze je wachtwoord weer terug kunnen halen betekent niet per se dat het als platte tekst in de database staat; er kan nog steeds encrytie toegepast worden. Dus als iemand de database in komt, kan het nog steeds zo zijn dat de wachtwoorden versleuteld zijn.

Wel is het zo dat de encryptie in dit geval dus ook een decryptie kent en dus twee kanten op werkt. Als de code daarvoor ook in handen van een hacker valt (of op andere wijze gekraakt wordt) ben je pas echt de klos. Maar een hacker heeft dus naast de database ook het decryptie-algoritme nodig.

[ Voor 8% gewijzigd door Morrar op 13-05-2012 01:02 ]

[TheThomas]

Meestal sturen ze bij van die mails van "wachtwoord vergeten" juist een tijdelijk nieuw wachtwoord, dus het is wel vreemd dat ze nu je oude wachtwoord opsturen.

[Thralas]

Morrar schreef op zondag 13 mei 2012 @ 01:00:
Beetje sterke aanname... Dat ze je wachtwoord weer terug kunnen halen betekent niet per se dat het als platte tekst in de database staat; er kan nog steeds encrytie toegepast worden.

Hoewel je in principe geen ongelijk hebt, is de aanname allezins redelijk. Als je dan toch om security geeft, waarom niet simpelweg hashen?

[Osiris]

Thralas schreef op zondag 13 mei 2012 @ 01:07:
[...]

Hoewel je in principe geen ongelijk hebt, is de aanname allezins redelijk. Als je dan toch om security geeft, waarom niet simpelweg hashen?

Blijkbaar hechten ze waarde aan deze 'service'.

Maarja, het principe van hashen is natuurlijk veiliger dunkt me dan encrypten.

[Xepos]

Keiichi schreef op zaterdag 12 mei 2012 @ 21:11:
[...]


Het idee van hashing is dat het 1-way is. Dus eigenlijk: neen.

Oh dan gebruik ik de verkeerde term. Mijn fout.

[j0rDy]

even ingrijpen: Een hash encrypt plaintext, maar geeft altijd dezelfde waarde bij dezelfde text, dus prima omkeerbaar. http://en.wikipedia.org/wiki/Cryptographic_hash_function

Wanneer er gebruik gemaakt wordt van een "salt" gaat het om een 1-way hash, gezien deze waarde random is zal dit niet omkeerbaar zijn. http://en.wikipedia.org/wiki/Salt_%28cryptography%29

in dit geval kan het dus zijn dat ze de wachtwoorden wel degelijk versleuteld opslaan, maar zonder salt gezien deze weer omgezet kunnen worden naar plaintext.

[Rob]

j0rDy schreef op maandag 14 mei 2012 @ 09:40:
even ingrijpen: Een hash encrypt plaintext, maar geeft altijd dezelfde waarde bij dezelfde text, dus prima omkeerbaar. http://en.wikipedia.org/wiki/Cryptographic_hash_function

Wanneer er gebruik gemaakt wordt van een "salt" gaat het om een 1-way hash, gezien deze waarde random is zal dit niet omkeerbaar zijn. http://en.wikipedia.org/wiki/Salt_%28cryptography%29

in dit geval kan het dus zijn dat ze de wachtwoorden wel degelijk versleuteld opslaan, maar zonder salt gezien deze weer omgezet kunnen worden naar plaintext.

De ecryptie is altijd 1-way. Een salt zorgt er voor dat het terugvinden van een wachtwoord via een rainbowtable een stuk moeilijker is

[Keiichi]

Rob schreef op maandag 14 mei 2012 @ 09:49:
[...]


De ecryptie is altijd 1-way. Een salt zorgt er voor dat het terugvinden van een wachtwoord via een rainbowtable een stuk moeilijker is

Het heet 1-way, omdat er geen routine mogelijk is om het origineel terug te vinden. Dat md5 redelijk makkelijk te bruteforcen is waarbij je elke mogelijk combinatie van wachtwoord probeert staat hier los van. Ben.nl zal echt niet alle wachtwoorden aflopen totdat ze jouw hash te pakken hebben om dat wachtwoord vervolgens terug te sturen.

[Osiris]

j0rDy schreef op maandag 14 mei 2012 @ 09:40:
even ingrijpen: Een hash encrypt plaintext, maar geeft altijd dezelfde waarde bij dezelfde text, dus prima omkeerbaar. http://en.wikipedia.org/wiki/Cryptographic_hash_function

Wanneer er gebruik gemaakt wordt van een "salt" gaat het om een 1-way hash, gezien deze waarde random is zal dit niet omkeerbaar zijn. http://en.wikipedia.org/wiki/Salt_%28cryptography%29

in dit geval kan het dus zijn dat ze de wachtwoorden wel degelijk versleuteld opslaan, maar zonder salt gezien deze weer omgezet kunnen worden naar plaintext.

Dus als ik van een Blu-ray van 50 gig een MD5-hash maak (zonder salt), dan kun jij vervolgens die hash wel "ff" omkeren, terug naar de Blu-ray? Ik gok dat je eerder een duplicate te pakken hebt.. Huh? Duplicates? Ohja, die zijn er ook nog, da's waar ook!

Kortom, een hash is niet "omkeerbaar" te noemen. Dat er trucjes zijn om een (van de) mogelijke input van een hashfunctie aan een hash te koppelen, wil nog niet zeggen dat je het omkeerbaar kunt noemen.

[itsme]

j0rDy schreef op maandag 14 mei 2012 @ 09:40:
even ingrijpen: Een hash encrypt plaintext, maar geeft altijd dezelfde waarde bij dezelfde text, dus prima omkeerbaar. http://en.wikipedia.org/wiki/Cryptographic_hash_function

Wanneer er gebruik gemaakt wordt van een "salt" gaat het om een 1-way hash, gezien deze waarde random is zal dit niet omkeerbaar zijn. http://en.wikipedia.org/wiki/Salt_%28cryptography%29

in dit geval kan het dus zijn dat ze de wachtwoorden wel degelijk versleuteld opslaan, maar zonder salt gezien deze weer omgezet kunnen worden naar plaintext.

Een bepaalde tekst geeft altijd de zelfde hash, maar meerdere teksten geven ook diezelfde hash.
Je kunt daarom niet terug van hash -> tekst.

In de praktijk het echte wachtwoord terughalen werkt niet, een geldig wachtwoord wel.

[leuk_he]

Vraag:

wat is er aan je ben.nl account gekoppeld? kun je dan alleen je mailadres zien? of al je belgegevens en ook je account opzeggen enzo?

[Killertjuh]

leuk_he schreef op maandag 14 mei 2012 @ 12:01:
Vraag:

wat is er aan je ben.nl account gekoppeld? kun je dan alleen je mailadres zien? of al je belgegevens en ook je account opzeggen enzo?

Nou ik gebruik meestal 1 wachtwoord die zo ingewikkeld is dat niemand die kent en kan raden(cijfers en letters door elkaar + leestekens)

Dus stel ik zal dit wachtwoord bij ben gebruiken dan zou dehackker dus ook op gmail komen.
Oke ik weet dat het niet slim is om 1 wachtwoord te hebben maar kom op waarvoor moet je wel niet een account aanmaken. Alles onthouden is ook niet mogelijk.

[Hahn]

1 wachtwoord is sowieso niet verstandig, zelfs al is het het moeilijkste wachtwoord dat ooit bestaan heeft. Je hoeft maar één keer een keylogger te hebben of iets dergelijks en dan ben je al de sjaak.

[Killertjuh]

Hahn schreef op maandag 14 mei 2012 @ 12:10:
1 wachtwoord is sowieso niet verstandig, zelfs al is het het moeilijkste wachtwoord dat ooit bestaan heeft. Je hoeft maar één keer een keylogger te hebben of iets dergelijks en dan ben je al de sjaak.

Maarja een keylogger die enkle weken of dagen draait ben je ook de sjaak of je nu 100 of 1 wachtwoord hebt.

[Hahn]

True, maar is al iets onwaarschijnlijker. En als iemand één keer bij jou over de schouder meekijkt, dan ben jij alsnog eerder de sjaak dan iemand met meerdere wachtwoorden

[Anoniem: 345311]

Killertjuh schreef op maandag 14 mei 2012 @ 12:11:
[...]


Maarja een keylogger die enkle weken of dagen draait ben je ook de sjaak of je nu 100 of 1 wachtwoord hebt.

True, en er zijn ook stealers die je opgeslagen wachtwoorden van firefox/chrome/ie etc. kan pakken...
Het systeem is zo veilig als de gebruiker zelf is

[Bor]

Anoniem: 454708 schreef op zaterdag 12 mei 2012 @ 21:04:
[...]

dat je je wachtwoord kan opvragen betekend in jou ogen dus dat het in plain text is opgeslagen?

Of plain tekst of reversible encryption wat ook erg slecht is.

[Killertjuh]

Anoniem: 345311 schreef op maandag 14 mei 2012 @ 12:13:
[...]


True, en er zijn ook stealers die je opgeslagen wachtwoorden van firefox/chrome/ie etc. kan pakken...
Het systeem is zo veilig als de gebruiker zelf is

offtopic: Knap jij mag wel 1 keer mee kijken dan...

Hahn schreef op maandag 14 mei 2012 @ 12:12:
True, maar is al iets onwaarschijnlijker. En als iemand één keer bij jou over de schouder meekijkt, dan ben jij alsnog eerder de sjaak dan iemand met meerdere wachtwoorden

Ook dit vind ik een grote nadeel bij firefox/chrome.

Maarja beetje offtopic....

[Anoniem: 345311]

Killertjuh schreef op maandag 14 mei 2012 @ 12:17:
[...]


offtopic: Knap jij mag wel 1 keer mee kijken dan...


[...]


Ook dit vind ik een grote nadeel bij firefox/chrome.

Maarja beetje offtopic....

Met wat meekijken?

[CyBeR]

itsme schreef op maandag 14 mei 2012 @ 11:57:
[...]

In de praktijk het echte wachtwoord terughalen werkt niet, een geldig wachtwoord wel.

Dat geldt voor langere plaintext. Zoek maar eens op "d1bf93299de1b68e6d382c893bf1215f" en je vindt precies wat ik ingetypt heb.

Morrar schreef op zondag 13 mei 2012 @ 01:00:
Beetje sterke aanname... Dat ze je wachtwoord weer terug kunnen halen betekent niet per se dat het als platte tekst in de database staat; er kan nog steeds encrytie toegepast worden. Dus als iemand de database in komt, kan het nog steeds zo zijn dat de wachtwoorden versleuteld zijn.

Dat is waar, maar dat is dan compleet kansloos. Het enige nut dat het heeft is zodat iemand die toegang tot de database heeft (een admin bijvoorbeeld) niet direct ook de wachtwoorden voor z'n neus heeft, maar daar eerst een conversie op moet toepassen.

Iemand die op zoek is naar de wachtwoorden en een dump van de database in handen heeft, is daar zo doorheen.

[leuk_he]

Hahn schreef op maandag 14 mei 2012 @ 12:10:
1 wachtwoord is sowieso niet verstandig, zelfs al is het het moeilijkste wachtwoord dat ooit bestaan heeft. Je hoeft maar één keer een keylogger te hebben of iets dergelijks en dan ben je al de sjaak.

Eeh, je bedoeld, er hoeft maar 1 site te zijn die wachtwoorden lekt, (email + ww) en al je accounts zijn gehacked... En lektober heeft aangetoond dat er veel sites lek zijn.

Als je een trojan / keylogger hebt dat maakt het een stuk minder uit dat je overal andere wachtwoorden gebruikt.

de vraag wat je met je wachtwoord kunt...

quote: https://www.ben.nl/inloggen

Inloggen bij Ik Ben
Jouw persoonlijke pagina

Op je persoonlijke Ik Ben pagina beheer je zelf je abonnement of prepaid. Zo kun je hier bijvoorbeeld je instellingen of je adres wijzigen, je simkaart blokkeren als hij gestolen of verloren is, je Pin- Puk code opvragen of een extra bundel afsluiten.

BEN HEEFT JE WACHTWOORD NODIG

ben heeft je wachtwoord helemaal niet nodig