Sportvisserij Nederland account gegevens zonder encryptie.

[tweakersron]

Beste Tweakers,

Zonet een account aangemaakt bij Sportvisserij Nederland. Tot mijn verbazing kreeg ik een mail met mijn account gegevens, maar dan ook letterlijk al mijn account gegevens. Er werd geen encryptie gebruikt en mijn wachtwoord werd open en bloot letterlijk in het mailtje gezet . Iemand nog meer ervaring met dit soort dingen?

[naitsoezn]

Ik weet niet of de collega's van BV er veel discussie-waarde in zien, maar in AZ hoort dit niet thuis in ieder geval. Tikje AZ -> BV

[SwooX]

Wel eens meegemaakt bij andere fora, weet alleen niet 1,2,3 welke. Verder nooit last gehad dat een account is gehackt o.i.d. bij de desbetreffende.

[tweakersron]

met een MITM attack liggen je gebruikers gegevens op straat, en aangezien dit gekoppeld is aan je IBAN lijkt me dit best wel een kwalijke zaak of zie ik het verkeerd?

[tweakersron]

naitsoezn schreef op dinsdag 14 maart 2017 @ 11:38:
Ik weet niet of de collega's van BV er veel discussie-waarde in zien, maar in AZ hoort dit niet thuis in ieder geval. Tikje AZ -> BV

Thx voor de aanpassing!

[Giesber]

Er zijn nog wel enkele andere websites die dit doen:
http://plaintextoffenders.com

Niet echt netjes, en ik zou niet graag een betaling doen op zo'n website. Maar als je dan nog even een uniek wachtwoord voor die website gebruikt zal je er niet van sterven.

[GlowMouse]

Die e-mail is geen enkele indicatie van dat je wachtwoord onversleuteld wordt opgeslagen. De mailserver van sportvisserijnederland ondersteunt TLS, dus waarom denk je dat er geen encryptie is gebruikt?

Je zou kunnen zeggen dat het ongewenst is om een e-mail met wachtwoord in je inbox te bewaren, maar die keuze ligt nu bij jou.

[ongekend41]

GlowMouse schreef op dinsdag 14 maart 2017 @ 14:32:
Die e-mail is geen enkele indicatie van dat je wachtwoord onversleuteld wordt opgeslagen. De mailserver van sportvisserijnederland ondersteunt TLS, dus waarom denk je dat er geen encryptie is gebruikt?

Dat is die e-mail wel. Als het wél versleuteld zou zijn opgeslagen zou hij geen mail met zijn plain-text ww kunnen ontvangen.TLS gaat over transport van data, niet over opslag daarvan

[DukeBox]

ongekend41 schreef op dinsdag 14 maart 2017 @ 23:53:
...Als het wél versleuteld zou zijn opgeslagen zou hij geen mail met zijn plain-text ww kunnen ontvangen....

Waarom niet ? Bij het aanmaken van het account kan er toch een mailtje verzonden worden met de account gegevens voordat het gehashed wordt opgeslagen in een database ?

[ongekend41]

DukeBox schreef op dinsdag 14 maart 2017 @ 23:56:
[...]

Waarom niet ? Bij het aanmaken van het account kan er toch een mailtje verzonden worden met de account gegevens voordat het gehashed wordt opgeslagen in een database ?

Ok, het kan, al denk ik dat er toch nog wat haken en ogen aan zitten. Ik mis helaas de kennis dat te onderbouwen. Daarnaast geloof ik niet dat ik dit in praktijk tegengekomen ben, maar eens moet de eerste keer zijn

Overeind blijft dat ww niet via plain-text (in een e-mail) zou moeten worden verzonden, een reset optie zou netter zijn.

[DukeBox]

ongekend41 schreef op woensdag 15 maart 2017 @ 00:06:
Ok, het kan, al denk ik dat er toch nog wat haken en ogen aan zitten. Ik mis helaas de kennis dat te onderbouwen.

Werkt niet anders dan een nieuw (tijdelijk) wachtwoord versturen.

Daarnaast geloof ik niet dat ik dit in praktijk tegengekomen ben, maar eens moet de eerste keer zijn

Ik helaas wel, onlangs nog bij 247discount.nl.

Overeind blijft dat ww niet via plain-text moeten worden verzonden, een reset optie zou netter zijn.

Voor de site zelf maakt het natuurlijk niet uit of je klikt op een link of het wachtwoord in de mail zet. Voor het onderscheppen van je wachtwoord zelf wel ja.