Telfort slaat wachtwoorden unencrypted op

[Joseph]

Zojuist kreeg ik een SMS van telfort met daarin het wachtwoord van mijn account daar.

Dit duid erop dat Telfort haar wachtwoorden zonder encryptie opslaat. Is dit meer mensen opgevallen?

[42dpi]

Je eigen wachtwoord die je zelf hebt verzonnen of eentje die aangemaakt is door hun? (tijdelijk wachtwoord dus)

[Cloud]

Die conclusie kun je niet zo eenvoudig trekken hoor. Het hangt er nogal vanaf wáárom die SMS gestuurd werd.

Heb je net je wachtwoord veranderd en wordt je het nieuwe wachtwoord toegestuurd per SMS? Is het een tijdelijk wachtwoord? Dan hoeft dat helemaal niet te betekenen dat je wachtwoord plaintext opgeslagen wordt.
De enige manier waarop je dat écht kunt concluderen is als je de 'Wachtwoord vergeten'-functie gebruikt en je dán je eigen wachtwoord toegezonden krijgt.

[CyBeR]

En zelfs dan niet, want ze kunnen 't best met een reversable encryptie opgeslagen hebben. Wat kansloos is voor veilige opslag, maar wel beschermt tegen per ongeluk inzien door DBA's en dergelijke.

[begintmeta]

CyBeR schreef op dinsdag 17 juli 2012 @ 12:36:
... reversable encryptie ... Wat kansloos is voor veilige opslag, ...

Kansloos zou ik niet zeggen, maar het wordt een stuk lastiger.

[ Voor 5% gewijzigd door begintmeta op 17-07-2012 12:38 ]

[Cloud]

Die optie heb ik opzettelijk verzwegen maar inderdaad heb je gelijk. Reversable encryptie (zegmaar non-hashes) vind ik echter bijna even fout als plaintext. Dus die schaarde ik onder dezelfde noemer

[Joseph]

Het is mijn eigen wachtwoord, niet een tijdelijk wachtwoord. Anders zou ik dit topic niet aangemaakt hebben.

[Cloud]

Maar de belangrijke vraag negeer je; waarom kreeg je de SMS? Heb je nu net je wachtwoord gewijzigd of gebruikte je een 'wachtwoord vergeten'-achtige functie?

[Joseph]

Nee, ik heb die functie niet gebruikt. Die SMS is gestuurd naar aanleiding van een voltooide aansluiting. Ik heb mijn eigen wachtwoord daar al eerder opgegeven. Die kreeg ik dus terug per SMS.

[iLikeNoobies]

Op het Telfort Mobiel of Telfort Internet gedeelte van de website?

[Joseph]

Telfort Mobiel.

De strekking van het verhaal is dus dat ik geen wachtwoord-vergeten/herstel functie gebruikt heb. Het was een soort welkomst-sms met het wachtwoord wat ik eerder al had ingesteld. Dit wachtwoord is dus niet door het systeem aangemaakt.

[Cloud]

Joseph schreef op dinsdag 17 juli 2012 @ 12:58:
Nee, ik heb die functie niet gebruikt. Die SMS is gestuurd naar aanleiding van een voltooide aansluiting. Ik heb mijn eigen wachtwoord daar al eerder opgegeven. Die kreeg ik dus terug per SMS.

Oke dat lijkt inderdaad niet echt toppie nee Dan blijft inderdaad alleen encryptie i.p.v. hashing over, maar dat is nog steeds verre van netjes.

[e-one-t]

Een beetje een oud topic, maar helaas heeft Telfort nog steeds niks verbeterd en verstuurt men nog steeds ongevraagd plain text wachtwoorden (zie hier). Is dit misschien op dezelfde manier aan te kaarten als destijds bij Vodafone? Ik heb niet het idee dat Telfort actie onderneemt...

[raoel77]

@e-one-t al ingestuurd bij tweakers? Ik heb zonet mijn wachtwoord via snailmail binnen gekregen, dus nog steeds niet veilig.