Wachtwoord opgevraagd bij hoster, kan dat?

[P_Tingen]

Ik zat gisteravond op het dashboard van mijn websitehoster en daar zag ik ineens een knop waarmee ik mijzelf de wachtwoorden kon sturen van dat account voor FTP en aanverwante zaken. Even later kreeg ik via de mail (naar webmaster@domein gestuurd) met keurig het overzicht.

Maar dat betekent dat de wachtwoorden bij mijn hoster bekend zijn. Ik dacht altijd dat alleen de versleutelde versie van het wachtwoord werd opgeslagen en niet het wachtwoord zelf. Is dat wel veilig?

Ik kan de webhoster zelf vragen natuurlijk, maar ten eerste wordt mijn vraag behandeld door de helpdesk en is het maar de vraag of die er verstand van hebben en ten tweede lijkt het me stug dat ik als antwoord ga krijgen "nee, meneer, dat is inderdaad niet erg veilig van ons"

[jugger naut]

Dat is, zoals je zelf al dacht, niet veilig.

[lier]

FTP is per definitie niet veilig, het op kunnen vragen van deze gegevens is echter niet heel vreemd. Ben met name benieuwd wat de "aanverwante zaken" zijn.

[scosec]

Worden je wachtwoorden niet simpelweg gereset bij het opvragen van die gegevens? Dit is een standaard functionaliteit van Directadmin als ik mij niet vergis.

[P_Tingen]

scosec schreef op dinsdag 26 juni 2018 @ 08:42:
Worden je wachtwoorden niet simpelweg gereset bij het opvragen van die gegevens? Dit is een standaard functionaliteit van Directadmin als ik mij niet vergis.

Nee, de wachtwoorden blijven gewoon staan.

Menu ziet er zo uit:


De mail die ik vervolgens krijg (even geanonimiseerd):

Beste Klant,

Hierbij sturen wij u alle recente inlogcodes behorend bij bestellingen gedaan met dit e-mailadres. ([e-mail]). Losse domeinnamen bevatten geen instelbare gegevens en worden dus ook niet vermeld in dit E-Mail bericht. U kunt de passwords voor uw E-Mail accounts, databases en statistieken zelf aanpassen vanuit het Control Panel, al dan niet met behulp van onze handleiding op https://www.tralalahosting.nl/handleiding

Domeinnaam: domein.nl (Bestelcode: ABC123)
Inloglink: https://server42.tralalahosting.nl:8426/
FTP- en MailServer: server42.tralalahosting.nl
Control Panel Inlognaam: henkie - Password: welkom123
FTP Inlognaam: henkie - Password: topsecret

Dit zijn alle bij ons bekende inloggegevens die u zelf kunt aanpassen vanuit uw Control Panel.

Met vriendelijke groet,
Tralala Hosting Helpdesk

[Tsurany]

Het is eigenlijk onvoorstelbaar dat dit mogelijk is. Wachtwoorden zouden niet opvraagbaar mogen zijn en zeker niet via e-mail verzonden mogen worden. Inderdaad een aardig veiligheidsrisico.

[DJMaze]

Kan ook zijn dat de wachtwoorden met symmetrische encryptie zijn opgeslagen en er een meganisme is zodat alleen jij en de hoster het wachtwoord kunnen decrypten.

Aangezien ik deze "standaard" wachtwoorden nooit vertrouw pas ik ze altijd aan.
Je weet namelijk niet of het daadwerkelijk encrypted is of niet.

[ Voor 31% gewijzigd door DJMaze op 26-06-2018 09:27 ]

[P_Tingen]

Okee, lijkt me duidelijk dat ik de hoster om opheldering ga vragen. Welllicht hebben ze een goed verhaal.

Edit: Nagevraagd en reactie gekregen

We werken momenteel aan een nieuw platform. Vorig jaar hebben we één van de eerste stappen gezet met compleet nieuwe hardware. Dit jaar vervangen we de onderliggende software.

Vanaf dan zul je een e-mail krijgen om vervolgens zelf je wachtwoord opnieuw in te stellen. Dat is eigenlijk ook zoals het hoort. Met de huidige softwarelaag bleek dat erg ingewikkeld te zijn, dus hebben we die functionaliteit vooruit geschoven naar het nieuwe platform.

Dit zal in de loop van dit jaar zijn aangepast. In een later stadium gaan we ook tweeweg-authenticatie toevoegen, zodat er nog een extra beveiligingslaag beschikbaar komt. Het is dan bijvoorbeeld mogelijk om je gegevens extra beveiligen met Google Authenticator.

Klinkt voor mij voor nu aannemelijk genoeg, en zeer vlot antwoord.

[ Voor 79% gewijzigd door P_Tingen op 26-06-2018 12:24 ]