Wachtwoorden niet versleuteld bij grote provider?

[Urk]

Een klant van mij heeft diverse hosting pakketten draaien bij een grote bekende provider, ik noem geen naam omdat ik dat in dit geval niet netjes vindt.

Het viel mij enige tijd geleden op dat de provider (FTP en database) wachtwoorden van accounts via de klantenlogin aan mij kon doorgeven. Wat bij mij overkwam als zijnde dat de provider de wachtwoorden van mijn klant blijkbaar niet gehashed opslaat.
Ik heb dit via een support ticket nagevraagd, de reactie van de provider was:

Wij kunnen inderdaad de FTP en database wachtwoorden uitlezen, ze zijn wel versleuteld voor de buitenkant.

Ehmm...dat kan toch helemaal niet? Dan worden wachtwoord toch gewoon ergens plain tekst opgeslagen? Of zouden ze wel encrypted worden opgeslagen in hun eigen systeem en dat ze met een certificaat of key die in eigen beheer is ze gedecrypt kunnen worden?

[Compizfox]

Ze kunnen geencrypt zijn opgeslagen. Dat is iets anders dan gehasht.

[pedorus]

Wat ik vermoed is dat ze een interne database hebben met de onversleutelde wachtwoorden. Op de externe servers (zoals de ftp-server zelf) staan de wachtwoorden wel asymmetrisch versleuteld.

Neemt niet weg dat ze dus de wachtwoorden in plain text kunnen reproduceren, wat mij niet een best practice lijkt

[Anoniem: 26306]

pedorus schreef op donderdag 25 oktober 2012 @ 00:07:
Neemt niet weg dat ze dus de wachtwoorden in plain text kunnen reproduceren, wat mij niet een best practice lijkt

Dat is alleen boeiend als klanten zelf hun wachtwoord kunnen wijzigen. Als de provider zelf (sterke) wachtwoorden voor hen genereert, voegt het hashen van wachtwoorden vrijwel niets aan veiligheid toe.

[Urk]

Anoniem: 26306 schreef op donderdag 25 oktober 2012 @ 00:10:
[...]

Dat is alleen boeiend als klanten zelf hun wachtwoord kunnen wijzigen. Als de provider zelf (sterke) wachtwoorden voor hen genereert, voegt het hashen van wachtwoorden vrijwel niets aan veiligheid toe.

Nee, het is als klant gewoon mogelijk zelf wachtwoorden te kiezen, en die kunnen zelfs vrij simpel zijn. Daardoor is een tijdje geleden de website van mijn klant al gehacked omdat het wachtwoord van de klant de postcode van het bedrijf bleek te zijn volgens de provider.

[pedorus]

Anoniem: 26306 schreef op donderdag 25 oktober 2012 @ 00:10:
[...]

Dat is alleen boeiend als klanten zelf hun wachtwoord kunnen wijzigen. Als de provider zelf (sterke) wachtwoorden voor hen genereert, voegt het hashen van wachtwoorden vrijwel niets aan veiligheid toe.

Wat te denken van een medewerker die bij de wachtwoorden kon en het bedrijf met verstoorde relatie verlaat? In die situatie is er wel degelijk een verschil, tenzij je steeds iedereen zijn wachtwoord dan maar wijzigt, wat me ook niet erg handig lijkt.