Kommentarer till Loopia brister i sin hantering av lösenord

Av: Kristoffer

Kristoffer — Sun, 22 Jun 2008 17:33:45 +0000

Tomas: Efter att jag skrev min artikel har Loopia ändrat sina rutiner. I det gamla systemet var det som det beskrevs ovan, i det nya verkar de ha löst sina gamla brister.

Min argumentation mot Oscar höll således vid den tidpunkt det skrevs, eftersom Loopia då skötte lösenordet på ett dåligt sätt.

Av: Tomas

Tomas — Sat, 21 Jun 2008 10:47:06 +0000

Inte för att jag känner något behov av att fösvara Loopia (snarare tvärt om) men vad jag förstår kan deras lösenord mycket väl lagras hashade i databasen. När du glömt ditt lösenord får du ju inte tillbaka ditt gamla i klartext, utan istället får du ett nytt slumpat lösenord som visas på en särskild krypterad sida en enda gång. Din argumentation mot Oscars inlägg håller inte. Det är den sidan som visar det nya lösenordet som också skapat det. Det visas i klartext på din skärm, men lagras sedan krypterat i databasen. (Troligtvis)

Av: Kristoffer

Kristoffer — Wed, 06 Feb 2008 12:23:04 +0000

Måns: Kul att fler ställen får upp ögonen för att höja sin säkerhet!

Är ju helt klart kul om jag varit en bidragande orsak…

Av: Måns

Måns — Tue, 05 Feb 2008 18:00:38 +0000

Dåligt när företag inte sköter sig. Stötte idag på detta meddelande hos DustinHome:

Som ett led i vårt arbete för förbättrad säkerhet på Dustin homes webbplats gör vi nu skillnad på versaler och gemener i våra kunders lösenord.

Verkar som om de blivit inspirerade av dig

Av: Kristoffer

Kristoffer — Fri, 01 Feb 2008 15:48:27 +0000

Anders: Man kan ju helt klart fundera på varför det felaktiga lösenordet alls behöver skickas tillbaks, det var ju trots allt fel? Just det har jag inte lagt märke till tidigare, men det är trevligt att bli uppdaterad!

Personligen kan jag inte göra annat än att rekommendera Binero, efter deras snabba respons på mitt påpekande så har de förbättrat sitt anseende ännu mer i mina ögon. Min artikel var däremot inte skriven i syfte att fungera som reklam för Binero. Kan tänka mig att många lätt kan få för sig det.

Googles Adsense kan ibland bjuda på annonser som i sammanhanget är lite humoristiska, jag har bland annat fått se att ”Gud älskar dig” (vilket väl är bra antar jag?)…

Får fundera på om jag ska blockera det annonselementet eller ej

Av: Anders

Anders — Fri, 01 Feb 2008 15:30:54 +0000

Jag blev lite förfärad när jag läste att ett etablerat webbhotell som Loopia inte hashar sina lösenord! Eftersom jag själv är kund hos dem var jag ju tvungen och kolla och det stämde mycket riktigt. Efter att jag avsiktligt skrivit in fel lösenord för mitt användarkonto drog jag åter efter andan då jag såg att Loopia skickar tillbaka det felaktiga lösenordet i form av en ifylld lösenordsruta! Jag ser inte poängen med detta och det ”dolda” lösenordet går lätt att ta fram m h a t ex Firebug i Firefox.

Jag funderar på att byta till Binero som du skrev om, dom verkar vara båda mer säkra och ödmjuka inför ev misstag dom gör!

ps. Roligt att din google-reklam visar en annons för Loopia när jag besökte din blog! ds.

Av: Kristoffer

Kristoffer — Wed, 30 Jan 2008 18:21:59 +0000

Max Malm: Ah, det var så du menade. Jo, det är klart att de kan ha krypterat det. Det var lite därför jag skrev: ”Detta innebär att Loopia antingen har lösenorden lagrade i klartext (något som ur säkerhetssynpunkt är oerhört alarmerande i så fall), eller så lagrar de lösenorden på ett sådant sätt att de kan dekryptera dem.”

I mina ögon är det ett säkerhetsproblem att lösenorden kan dekrypteras, det finns egentligen ingen bra anledning till det. Har man glömt sitt lösenord kan man lika gärna ange ett nytt som sedan hashas. Ur smidighethänseende går man egentligen inte miste om något, däremot vinner man säkerhet genom det.

Av: Max Malm

Max Malm — Wed, 30 Jan 2008 17:55:00 +0000

Kristoffer:

Det jag menar är att informationen kan ligga krypterad i databasen med någon krypteringsteknik. Jag har inte stött på att det finns något som säger att deras lösenord är hashade, de kan lika gärna vara krypterade

Av: Kristoffer

Kristoffer — Wed, 30 Jan 2008 11:03:44 +0000

Max Malm: Hej på dig med

Grundtanken med en hash är att man inte skall kunna återskapa indatan utifrån en given hash, vilket i många lägen är en bra lösning på att lagra till exempel lösenord på ett säkert sätt. Krypteringar finns det oerhört många varianter av, gemensamt för ”vanliga” krypteringar (hashfunktioner uteslutna) är dock just att det går att återskapa indatan. Detta gäller både symmetriska och asymmetriska krypteringar.

Jag är så klart nyfiken på lite mer exakt vad du åsyftar, så jag hoppas att du hittar hit igen (jag skickar en påminnelse via mailen med )

Tack för din kommentar!

Av: Max Malm

Max Malm — Wed, 30 Jan 2008 10:50:24 +0000

Hej. Det finns andra krypteringsmetoder än envägskryptering. Jag tycker detta är något du borde läsa in dig lite mer på. ”:)” Finns på mailen om du vill kontra mig, jag kommer antagligen inte lyckas hitta hit igen

Av: Anders B

Anders B — Tue, 29 Jan 2008 23:38:11 +0000

Jag har bara positiva erfarenheter av Active24, eller Carambole som de tidigare hette, vad gäller driftsäkerhet, support, priser etc.

Men detta är hårresande:

http://imajr.com/active24-080130-8.bmp-694644

Märk väl att Active 24 i första hand vänder sig till företagskunder. Allt ligger öppet för en snokig administratör, eller den som eventuellt lyckas bryta sig in på det ena eller andra sättet.

Problematiken med folk som använder samma lösenord på flera platser blir uppenbar.

Av: Kristoffer

Kristoffer — Tue, 29 Jan 2008 21:47:28 +0000

Bmo: Måste säga att man lätt kan anse att det finns lite brister i supportens sätt att resonera där…

Anders B: Active 24 är alltså ännu ett webbhotell som missköter sig… Är läget verkligen så illa ute i IT-sverige?

Jag förstår att det kanske inte är helt lämpligt att lägga upp en skärmdump med synliga uppgifter i, men känner du för det så är det bara att du maskerar dem och sedan skriver en kommentar med en länk till bilden så kan alla se

Till er alla som kommenterar: Tusen tack för era kommentarer och uppgifter!

Av: Anders B

Anders B — Tue, 29 Jan 2008 20:48:54 +0000

Jag hyr webhotell med tillhörande epostkonton hos active24.se.

Inloggad som administratör visas på startsidan en lista över samtliga epostkonton med respektive lösenord i klartext!!!

Jag fick rysningar när jag såg det, ringde supporten och frågade vaff**n. Snorkig supportperson förstod inte vad jag menade, eller så spelade han dum. Detta var för över ett år sedan och det ser likadant ut än idag.

Skulle gärna lägga ut en skärmdump men den möjligheten finns tyvärr inte i detta forum

Av: Bmo

Bmo — Tue, 29 Jan 2008 19:28:29 +0000

Kristoffer:

Tyvärr så skedde konversationen via deras Online chat-tjänst. Jag hade tagit en screenshot som jag råkade skriva över med nåt annat i clipboarden

Hans förklaring var att jag inte behöver oroa mig eftersom deras tjänster är säkra nog.

Av: Kristoffer

Kristoffer — Tue, 29 Jan 2008 13:34:33 +0000

toad: Jo, det är lite illa att det så tydligt visar sig hur sådant här missköts. Det verkar ju vara relativt utbrett med.

Bmo: One.com är ju å andra sidan inte precis kända för att hålla kvalitet på sina tjänster…
Det gör å andra sidan inte missen med lösenord i klartext bättre på något vis.

Hade de någon förklaring? Finns det någon mailväxling att ta del av?

Av: Bmo

Bmo — Tue, 29 Jan 2008 13:06:54 +0000

Efter prat med One.coms kundtjänst framgick det att även de sparar lösenord i klartext.

Av: toad

toad — Tue, 29 Jan 2008 08:57:10 +0000

Herrej*vlar! Nu är det ju så man börjar bli riktigt frustrerad på det här.
Jag menar att ett WEBBHOTELL brister såhär extremt, det trodde jag inte.
Men men.. det här avgjorde ju saken iallafall. Bye, bye Loopia, welcome Binero!

Av: Kristoffer

Kristoffer — Mon, 28 Jan 2008 19:00:18 +0000

Christofer: Jag är också fullkomligt övertygad om att användare kan se skillnad på stora och små bokstäver, i annat fall finns ju alltid ”glömt lösenordet”-funktionen. De enda man garanterat underlättar för i sådana här sammanhang är angriparna, det spelar ingen roll att man som användare är säkerhetsmedveten när företaget man har lösenordet hos själva medvetet sänker säkerheten i det.

Det är ju så klart inte säkert att lösenorden lagras i klartext, men det råder ingen tvekan om att krypteringen i varje fall är reversibel. Med tanke på hur det sett ut hos Efterfesten och Mecenat AB så är det ju knappast helt osannolikt att de lagrar det som klartext däremot.

Supportens svar lämnar rätt mycket att önska, men av svaret att döma så rör det sig ju om ett aktivt val att sänka säkerheten på det här sättet. Deras säkerhetsaspekter vad gäller den här biten verkar ju inte fått sig någon nämnvärd översyn det senaste halvåret i alla fall.

Tack för din kommentar och utdraget från svaret från Loopias support!

Emil: Nej, man kan tycka att det är rätt konstigt att de aktivt har förbjudit sådana lösenord i sitt system…

Av: emil

emil — Mon, 28 Jan 2008 17:50:03 +0000

jag håller med, jag kan inte använda mitt egna lösenord för inte specialtecken stöds, jag fattar inte varför det skulle va nåt problem för loopia att ge stöd för det

Av: Christofer

Christofer — Mon, 28 Jan 2008 17:29:29 +0000

Jag har rotat i samma fråga gällande bristerna i deras hantering av gemener och versaler av lösenord samt hur lagringen av dessa egentligen sker. Citatet nedan från supporten skrevs i slutet av augusti förra året. Här står det klart och tydligt att det är till för att ”förenkla” för kunden. De kunder som blandar gemener och versaler är i de flesta fall mer säkerhetsmedvetna och kommer också lägga dessa skillnader på minnet, så hur detta skulle förenkla för kunden har jag mycket svårt att se. Frågan om varför lösenorden lagrades i klartext blev aldrig besvarad. Blir intressant att höra hur de ställer sig till frågan idag.
Måste vi vänta på att någon ger sig fasen på att komma in i deras system för att något säkerhetsarbete ske? Skärpning!

/Christofer

”Det är bra att du är säkerhetsmedveten. Du behöver dock inte vara orolig
över att säkerheten på något sätt skulle vara låg hos oss.
Man kan använda både gemener och versaler vid inloggning i LoopiaKundzon,
men det är för att förenkla för kunden.
Eftersom det fortfarande går att variera i längd och att man inte enbart ska
ha bokstäver i lösenordet, begränsas möjligheten att gissa lösenord baserat
på ord. Det är alltså ett medvetet val att ignorera gemener och versaler i
inloggningen till Loopia Kundzonen.

Vi håller på att se över säkerhetsaspekterna på alla kundsystem i samband
med en större uppgradering av systemen och det är absolut möjligt att vi tar
bort den möjligheten om den inte används.

Tackar för dina synpunkter. Med din hjälp kan vi bli bättre och leverera en
förbättrad tjänst till våra kunder.

Hör gärna av dig om du har fler förbättringsförslag.”

(Namnet på supporten hos Loopia är bortklippt från svaret för att inte hänga ut någon enskild person som antagligen ändå inte har något beslut i frågan.)