Onveilige inlogmethode voor zorgapplicatie

[ImmortalSoul]

Informatie verwijderd.

[ Voor 98% gewijzigd door ImmortalSoul op 02-10-2025 21:11 . Reden: Informatie verwijderd. ]

[McKaamos]

Naja, niet veilig...
Het is beter dan alleen een username+password combi. Effectief is het username+password+password.
Of je dat mag betitelen als 2FA? ik vind van niet.

De definitie stelt: Two-factor authentication (also known as 2FA) is a type, or subset, of multi-factor authentication. It is a method of confirming users' claimed identities by using a combination of two different factors: 1) something they know, 2) something they have, or 3) something they are.

Een wachtwoord en een pincode zijn dus beide categorie 1, terwijl je voor 2FA een combinatie van 2 categorieen nodig hebt.

[emnich]

Het is wel tweestaps verificatie maar niet twee factor en dat is wel een groot verschil.

Ze kunnen het 8-cijferige wachtwoord ook als 8-staps verificatie maken maar dat maakt het niet veiliger dan gewoon een wachtwoord van 8 tekens (sterker nog het wordt eerder onveiliger). In de basis heb je nu gewoon één wachtwoord van 12 tekens.

Afhankelijk van de gegevens die er in staan, komt het op mij niet heel veilig over.

[ Voor 7% gewijzigd door emnich op 07-04-2020 14:07 ]

[McKaamos]

emnich schreef op dinsdag 7 april 2020 @ 14:07:
Het is wel tweestaps verificatie maar niet twee factor en dat is wel een groot verschil.

Ze kunnen het 8-cijferige wachtwoord ook als 8-staps verificatie maken maar dat maakt het niet veiliger dan gewoon een wachtwoord van 8 tekens (sterker nog het wordt eerder onveiliger). In de basis heb je nu gewoon één wachtwoord van 12 tekens.

Afhankelijk van de gegevens die er in staan, komt het op mij niet heel veilig over.

Nou, als je gaat googlen, dan krijg je voor twee factor en tweestaps verificatie dezelfde uitleg.
Dus ik denk niet dat je het echt hard kan maken dat dit mee telt.

Volgens mij is tweestaps verificatie gewoon de juiste nederlandse term voor het engelse two-factor-authentication.

[emnich]

@McKaamos Dan is elke login als 2-staps verificatie te maken. Eerste stap is gebruikersnaam opgeven en 2e stap wachtwoord.

Door het wachtwoord op te knippen maak je het onveiliger omdat je al met minder pogingen een deel van het wachtwoord kan raden.

[SinergyX]

Heb je hun ook de vraag gesteld rond de pincode?

Maar wat is buiten pincode het 'niet veilig' aspect? Het zijn geen zelfgekozen (veelal dezelfde) wachtwoorden of usernames, je kan discussie voeren over manier van aanleveren (mocht iemand chat meelezen), hoe zou een kwaadwillende precies in dit systeem kunnen komen?

McKaamos schreef op dinsdag 7 april 2020 @ 14:10:
[...]

Nou, als je gaat googlen, dan krijg je voor twee factor en tweestaps verificatie dezelfde uitleg.
Dus ik denk niet dat je het echt hard kan maken dat dit mee telt.

Volgens mij is tweestaps verificatie gewoon de juiste nederlandse term voor het engelse two-factor-authentication.

Eerder is denk ik het probleem, Nederlands kent volgens mij maar 1 vertaling, twee-staps, maar in het engels bestaan er wel degelijk two-factor en two-step, logisch zou ik zeggen twee-stap en twee-trap, maar dat zal door diverse blogs, sites en overige discussies wel compleet door elkaar zijn gebruikt.

[CodeCaster]

Dit is in mijn beperkte ervaring nogal kenmerkend voor software in de zorg. Niet alleen de usability is om naar huis te huilen, ook heeft men van beveiliging geen kaas gegeten.

Ja, ze voldoen aan alle aanvinkvakjes voor de certificering. Dus de server waarop het zootje draait, zal regelmatig van updates worden voorzien, er zit een goedgekeurde firewall voor, bepaalde services staan dicht en ze loggen wat mensen in de applicatie doen. Hierdoor krijgen ze een certificaat dat net zoveel waard is als het papier waarop het is gedrukt.

Als je, wanneer je het wachtwoord weet, de pincode kunt resetten, heeft deze pincode uiteraard nul toegevoegde waarde. En natuurlijk kun jij niet zien of er anderen op jouw account zijn ingelogd, of jouw gegevens hebben geraadpleegd, noch kun je andere sessies uitloggen. Of wel?

Ik heb privé ook met zo'n soort systeem te maken, om berichten uit te wisselen met een hulpverlener. De door mij verstuurde berichten zijn niet in te zien (dus die moet ik extern opslaan, wil ik chocola kunnen maken van een antwoord dat ik dagen later ontvang), de "wachtwoord vergeten"-functie meldt of een e-mailadres al dan niet bekend is in het systeem, en de Over Ons-pagina (die alleen ingelogd is te bekijken) geeft een 404-foutmelding.

Qua oplossing voor je probleem: aangezien aan de regels voldoen, betwijfel ik of je het ergens kan melden. Je zou kunnen proberen contact op te nemen met het Landelijk Meldpunt Zorg.

[ Voor 12% gewijzigd door CodeCaster op 07-04-2020 14:23 ]

[McKaamos]

emnich schreef op dinsdag 7 april 2020 @ 14:13:
@McKaamos Dan is elke login als 2-staps verificatie te maken. Eerste stap is gebruikersnaam opgeven en 2e stap wachtwoord.

Door het wachtwoord op te knippen maak je het onveiliger omdat je al met minder pogingen een deel van het wachtwoord kan raden.

Wat je nu zegt is precies het tegendeel van mijn punt.
Dezelfde uitleg die overal gegeven wordt is dat tweestaps en tweetraps beide een synoniem zijn van de definitie van 2FA die ik eerder gaf. Jij denkt 'm andersom

Dus ja, ik ben het met je eens dat het geen veilige methode is.
Als je eerst kan inloggen met user+pass en daarna pas een pincode erbij moet invoeren, dan heb je een minder veilig systeem als een user+langwachtwoord

SinergyX schreef op dinsdag 7 april 2020 @ 14:13:
Heb je hun ook de vraag gesteld rond de pincode?

Maar wat is buiten pincode het 'niet veilig' aspect? Het zijn geen zelfgekozen (veelal dezelfde) wachtwoorden of usernames, je kan discussie voeren over manier van aanleveren (mocht iemand chat meelezen), hoe zou een kwaadwillende precies in dit systeem kunnen komen?


[...]

Eerder is denk ik het probleem, Nederlands kent volgens mij maar 1 vertaling, twee-staps, maar in het engels bestaan er wel degelijk two-factor en two-step, logisch zou ik zeggen twee-stap en twee-trap, maar dat zal door diverse blogs, sites en overige discussies wel compleet door elkaar zijn gebruikt.

Volgens mij kennen ze in het engels ook geen effectief verschil tussen 2SA en 2FA. Da's hetzelfde ding, en de definitie is dat je 2 verschillende dingen gebruikt om in te loggen. (wachtwoord+bezit meestal)
Ook Google noemt hun 2FA systeem 2SA. (zie: https://www.google.com/landing/2step/#tab=how-it-works)
Vraag je het aan Wikipedia, dan is er niet eens een artikel over 2SA.

[ Voor 7% gewijzigd door McKaamos op 07-04-2020 14:35 ]

[SinergyX]

McKaamos schreef op dinsdag 7 april 2020 @ 14:28:
Volgens mij kennen ze in het engels ook geen effectief verschil tussen 2SA en 2FA. Da's hetzelfde ding, en de definitie is dat je 2 verschillende dingen gebruikt om in te loggen. (wachtwoord+bezit meestal)
Ook Google noemt hun 2FA systeem 2SA. (zie: https://www.google.com/landing/2step/#tab=how-it-works)
Vraag je het aan Wikipedia, dan is er niet eens een artikel over 2SA.

Denk ook niet dat 2SA echt een term is, het is gewoon het oude 'sub password/tweede wachtwoord/geheime vraag' principe wat met termen van deze tijd ook maar z'n eigen term heeft gekregen?

Zoals bij google ook staat:
U wordt om iets anders gevraagd

Wat eigenschap is van factor, maar daar zie je ook dat de vertaling naar 'stap' gaat, ergens gaat onze taal de mist in (of eigenlijk, punt dat wij overal een 'eigen' woord voor willen hebben) en krijg je zo'n mixup.

[ImmortalSoul]

emnich schreef op dinsdag 7 april 2020 @ 14:07:
Afhankelijk van de gegevens die er in staan, komt het op mij niet heel veilig over.

SinergyX schreef op dinsdag 7 april 2020 @ 14:13:
Maar wat is buiten pincode het 'niet veilig' aspect? Het zijn geen zelfgekozen (veelal dezelfde) wachtwoorden of usernames, je kan discussie voeren over manier van aanleveren (mocht iemand chat meelezen), hoe zou een kwaadwillende precies in dit systeem kunnen komen?

Er staat een zorg/behandelplan opgeslagen (20 pagina's met al mijn persoonsgegevens, medische informatie + een gedetailleerde omschrijving van mijn complete privé leven).

En het niet veilige aspect vind ik dat bovenstaande op dit moment beveiligd is met een gebruikersnaam en wachtwoord van 8 cijfers.

Natuurlijk kan je daar met standaard gokwerk niet zo snel inloggen, maar als ik die pincode-reset methode zie dan is mijn vertrouwen voor de rest van applicatie niet zo heel hoog (denk aan SQL injectie/passworden die met MD5 zijn opgeslagen/of unhashed/etc).

[mcDavid]

ImmortalSoul schreef op dinsdag 7 april 2020 @ 15:28:
[...]

Natuurlijk kan je daar met standaard gokwerk niet zo snel inloggen, maar als ik die pincode-reset methode zie dan is mijn vertrouwen voor de rest van applicatie niet zo heel hoog (denk aan SQL injectie/passworden die met MD5 zijn opgeslagen/of unhashed/etc).

TBH, als het password toch al aan een strakke definitie van 8 cijfers voldoet, maakt het ook weinig meer uit of je het hashed. Dat maakt dan hooguit een paar seconden verschil uit, als de database in verkeerde handen komt.

[emnich]

Zit er wel een maximum op het aantal inlog pogingen?

[SeatRider]

ImmortalSoul schreef op dinsdag 7 april 2020 @ 14:01:
Het hebben van een NEN7501 certificaat maakt me iets geruster, maar deze inlogmethode is toch niet veilig?

Hij bedoelt hier waarschijnlijk NEN 7510, maar helaas heeft KIWA recent haar NEN 7510 accreditatie vrijwillig laten schrappen (...) en werken nu slechts nog onder licentie: https://www.nen.nl/Normon...eer/Register-NEN-7510.htm. Onder licentie betekent dat ze nog wel een soort veterstrikdiploma's mogen uitgeven, maar dus niet meer mogen beweren dat ze geaccrediteerd zijn (wat ze dus wel waren, sinds 2017).

[borft]

hmm, 8 cijfers is weinig permutaties. Meestal verstaan we onder MFA (waar 2FA een subset van is), in loggen met iets dat je weet (bv password) en iets dat je hebt (bv biometrie, of een TOTP code, etc).

Ik vind het maar een matige beveiliging, ik mag hopen dat ze het aantal inlogpogingen / 24 uur heel erg laag hebben staan, anders wordt het wel heel makkeljik inbreken.

[ImmortalSoul]

emnich schreef op dinsdag 7 april 2020 @ 15:36:
Zit er wel een maximum op het aantal inlog pogingen?

Voor de pincode is een maximaal aantal pogingen.

Echter, voor het inloggen met gebruikersnaam en wachtwoord lijkt geen maximaal aantal pogingen te zijn.

Ik krijg echter ook netjes feedback wanneer de gebruikersnaam incorrect is. Dus als ik de naam van een andere client weet, dan kan ik eerst zijn gebruikersnaam raden door voornaam.achternaam.(drie willekeurige cijfers te raden). En vervolgens onbeperkt het wachtwoord te raden en na inlog kan de pincode zelf gereset worden.

[ Voor 3% gewijzigd door ImmortalSoul op 07-04-2020 16:12 ]

[emnich]

ImmortalSoul schreef op dinsdag 7 april 2020 @ 16:07:
[...]

Voor de pincode is een maximaal aantal pogingen.

Echter, voor het inloggen met gebruikersnaam en wachtwoord lijkt geen maximaal aantal pogingen te zijn.

Ik krijg echter ook netjes feedback wanneer de gebruikersnaam incorrect is. Dus als ik de naam van een andere client weet, dan kan ik eerst zijn gebruikersnaam raden door voornaam.achternaam.(drie willekeurige cijfers te raden). En vervolgens onbeperkt het wachtwoord te raden en na inlog kan de pincode zelf gereset worden.

Dan is het dus per definitie niet veilig en zeker niet met medische gegevens.

[mcDavid]

Even voor de duidelijkheid

- wachtwoorden versturen (via watvoor medium dan ook) is een bad practice
- wachtwoorden van slechts 8 karakters gebruiken is een bad practice
- alléén maar cijfers gebruiken in een wachtwoord is een bad practice
- het wachtwoord niet kunnen aanpassen is een bad practice
- een "secret" (de 3-cijferige code) in een gebruikersnaam stoppen is een bad practice
- information leakage door gebruikersnamen te raden telt gewoon als een (minor) exploit.

Wat ze verder met die pincode willen is me onduidelijk, maar als je het zo beschrijft heeft dat ding dus geen toegevoegde waarde.

Kortom het rammelt inderdaad aan alle kanten. Je kunt er melding van maken bij de organisatie zelf, maar uiteindelijk is het aan hen zelf om er daadwerkelijk wat mee te gaan doen. Schermen met certificeringen is hoe dan ook een zwaktebod. Als je een gerichte aanval kunt produceren kun je actie afdwingen dmv een responsible disclosure. Eventueel zou je hiervoor een bugbounty-community of infosec bedrijf kunnen raadplegen.

[ImmortalSoul]

Update:
Afgelopen dagen heb ik vrij veel contact gehad met de betrokken organisaties.

Ik heb rond 7 april een melding gemaakt via mijn aanspreekpunt bij de zorgorganisatie waar ik bij aangesloten zit. Deze heeft het weer bij haar leidinggevende aangekaart, en die leidinggevende heeft telefonisch contact met mij gehad. Hierna is het eigenlijk een beetje dood gevallen, en heb ik daarna nog bijna wekelijks aangegeven dat er actie ondernomen met worden (en druk gezet). Het probleem hierbij was dat de leidinggevende in kwestie niet technisch onderlegd was en de risico's ook niet zag ("er zit toch een wachtwoord op en dat is veilig").

Vorige week is "eindelijk" de juiste persoon (de gegevensfunctionaris) binnen de organisatie gevonden, en toen is het balletje meteen gaan rollen. De gegevensfunctionaris van de zorginstelling heeft de risico's meteen herkend en die is naar de directie gestapt. Inmiddels zijn er ook een aantal eisen richting die softwareleverancier gegaan die opgelost moeten worden.

Vandaag heb ik contact gehad met de softwareleverancier (dezelfde persoon als waar ik in de topicstart de mail van had ontvangen) en die bood zijn excuses aan en die gaf ook aan dat de punten opgepakt gaan worden.

De achtergrond van het probleem is dat de zorgapplicatie de gegevens uit een soort van EPD/ECD ophaalt, en die database van een client bevat geen emailadres en soms ook geen telefoonnummer. Hierdoor kon er standaard geen goede MFA opgezet worden. Ze hebben dit dus proberen te verhelpen met die extra pincode (wat nog steeds een gedrocht is) om toch maar een extra factor te voorzien, maar zonder contactgegevens kun je natuurlijk geen password reset systeem inbouwen.

Ik heb ze nog het belang van een MFA toepassing op het hart gedrukt, maar gezien de doelgroep/clienten (sommige hebben lage intelligentie, geen telefooon, etc) was dat ook weer lastig.

De volgende punten worden in ieder geval afgedwongen/aangepast:
- Meldingen bij inlogprocedure uit (organisatienaam onjuiste, gebruikersnaam onjuist, wachtwoord onjuist)
- Cliënten moeten zelf hun wachtwoord kunnen veranderen (via automatische email)
- Cliënten moeten zelf hun pincode kunnen wijzigen via een tussenstap met email
- Blokkade na 3 verkeerde inlogpogingen