Remember password in browser overrulen

[kattapult]

Ik ben een website aan het ontwikkelen welke ik nu zelf aan het testen ben. Ik loop hierbij tegen het volgende aan;

Als ik me als eindgebruiker zijnde afmeld, wordt ik netjes afgemeld. Omdat ik in de browser echter de optie ‘remember my password’ aan heb staan, worden mijn gebruikersnaam en wachtwoord weer standaard ingevuld en met een druk op de 'inlog' button ben ik weer ingelogd.

Gezien de gevoeligheid van data, zou ik echter graag willen dat eindgebruikers altijd hun username + ww moeten invullen, ongeacht de optie ‘remember my password’ in de browser.

Is het mogelijk dat ik mijn website dusdanig configureer, dat hij de browser setting soort van ‘overruled’? Een mooi voorbeeldje vind ik de ING bank .. daar moet ik te allen tijde mijn username + ww invullen.

Iemand hier ervaring mee?

[P.O. Box]

Als je nu bij de ING in de broncode kijkt... wat valt je dan op?

[ Voor 39% gewijzigd door P.O. Box op 07-07-2015 14:21 ]

[maarud]

Al is dat natuurlijk weer te overrulen, dat doe ik ook bij sommige sites om tóch te forceren dat hij username en password onthoud

[NMe]

[google=tell browser to not remember user account]

[jeroen3]

kattapult schreef op dinsdag 07 juli 2015 @ 14:12:
Gezien de gevoeligheid van data...

Multifactor authentication?

[ Voor 24% gewijzigd door jeroen3 op 07-07-2015 14:34 ]

[leuk_he]

P.O. Box schreef op dinsdag 07 juli 2015 @ 14:20:
Als je nu bij de ING in de broncode kijkt... wat valt je dan op?

Hoewel je bedoeld "kijk vooral zelf in de broncode van die site"

code:

<input autofocus="autofocus" class=" firstfield" tabindex="1" name="aUkTqZAnVSmDFEbf4" id="aUkTqZAnVSmDFEbf4" size="25" maxlength="20" value="" type="text">

kirjgt het userid en het wachtwoord veld dus een dynamisch ID.

De echte oplossing is uiteraard via 2 factor authentication te werken. SMS ("Tan code")/ token etc etc.

[P.O. Box]

leuk_he schreef op dinsdag 07 juli 2015 @ 17:57:
[...]

Hoewel je bedoeld "kijk vooral zelf in de broncode van die site"

code:

<input autofocus="autofocus" class=" firstfield" tabindex="1" name="aUkTqZAnVSmDFEbf4" id="aUkTqZAnVSmDFEbf4" size="25" maxlength="20" value="" type="text">

kirjgt het userid en het wachtwoord veld dus een dynamisch ID.

De echte oplossing is uiteraard via 2 factor authentication te werken. SMS ("Tan code")/ token etc etc.

wat bedoel je met "Hoewel"??

[maarud]

leuk_he schreef op dinsdag 07 juli 2015 @ 17:57:
[...]

Hoewel je bedoeld "kijk vooral zelf in de broncode van die site"

code:

<input autofocus="autofocus" class=" firstfield" tabindex="1" name="aUkTqZAnVSmDFEbf4" id="aUkTqZAnVSmDFEbf4" size="25" maxlength="20" value="" type="text">

kirjgt het userid en het wachtwoord veld dus een dynamisch ID.

Vergeet de

HTML:

autocomplete="off"

niet, die zorgt er voor dat browsers niet je wachtwoord onthouden

[RobIII]

maarud schreef op woensdag 08 juli 2015 @ 08:35:
[...]


Vergeet de

HTML:

autocomplete="off"

niet, die zorgt er voor dat browsers niet je wachtwoord onthouden

Autocomplete != autofill volgens sommige vendors en dus kon je hier wel eens van een koude kermis thuis komen

[ Voor 21% gewijzigd door RobIII op 08-07-2015 08:49 ]

[maarud]

Klopt, je kan er nooit 100% op vertrouwen, daarom zei ik in mijn eerste post dat ik het inschakelen daarvan forceer Gelukkig zijn er nog een rits andere zaken die je er bij kan implementeren waaronder het dynamische input-veld

[supersnathan94]

Mag ik vragen aan je wat er zo gevoelig is aan de data, dat je je users dwingt om het wachtwoord te onthouden? Hier wordt het namelijk niet veiliger van. Users gaan nu niet even een passeord kiezen wat echt veilig is, maar wat makkelijk te onthouden. Is dat iets wat je wilt? Daar zijn password managers juist voor. Dat je snel en eenvoudig lastige en veilige wachtwoorden kan gebruiken.

Dus hoewel jij denkt dat dit veilig is, is het alles behalve dat. Wat je nu tegengaat is misbruik door mensen met fysieke toegang tot het systeem terwijl je de deur voor mensen van buitenaf letterlijk open gooit. Wat de ING doet is in combinatie met een hele rits andere zaken waardoor het wel veilig is voor alle overige dingen. Denk er dus goed over na voordat je "zomaar" dingen implementeerd.

[_Thanatos_]

Gezien de gevoeligheid van data, zou ik echter graag willen dat eindgebruikers altijd hun username + ww moeten invullen, ongeacht de optie ‘remember my password’ in de browser.

Dat moeten gebruikers voor zichzelf bepalen. Het is niet aan jou om browsergedrag te slopen en het leven van je gebruikers moelijker te maken.

Het minst erge dat je kunt doen is een derde veld toevoegen.

Users gaan nu niet even een passeord kiezen wat echt veilig is, maar wat makkelijk te onthouden.

En dat. Want vertel es, wat is veiliger: die post-it van een gemiddelde gebruiker, of de password vault van een gemiddelde browser?

[ Voor 22% gewijzigd door _Thanatos_ op 14-07-2015 02:03 ]

[Barryvdh]

Wat ook een 'hack' is om het te fixen; een verborgen password input toevoegen.
Chrome vult namelijk standaard automatisch het eerste wachtwoord in.

HTML:

<input type="password" style="display:none">

(Al gebruik ik het overigens voor admin schermen, bewerken van andere wachtwoorden etc. Die Chrome dus ook vrolijk aanvult..)