Loopia brister i sin hantering av lösenord

2008-01-28 14:30 | Kategorier » Artiklar, IT-säkerhet, Webb,

Loopia är ett av Sveriges större webbhotell och har tidigare på sin hemsida stoltserat med många stora kunder. Loopia framhåller att de blivit utnämnda till ”Sveriges bästa webbhotell” år 2005.

Efter årets inledande attacker mot bland annat Efterfesten och nu senast Mecenat AB har det allt mer framgått att företag inte sköter sina säkerhetsrutiner på det sätt de kanske borde göra.

Vad är det då som brister i hur Loopia handskas med lösenorden?

Man skulle kunna säga att det rör sig om fyra grundläggande brister i olika allvarlighetsgrad.

Längden

Till att börja med tillåter de inte lösenord längre än 16 tecken. Sådana begränsningar är Loopia inte ensamma om att ha och man kan lätt tänka sig att ingen ändå skulle få för sig att ha så långa lösenord. Det är däremot så att en av de delar som avgör säkerheten hos ett lösenord är just längden på de. Ju längre lösenord, ju högre säkerhet är en regel man kan ha i bakhuvudet.

Gemener/versaler

Loopias andra brist i lösenordshanteringen är att de inte gör skillnad på gemener och versaler, det vill säga stora och små bokstäver. För Loopias system är ”PAssWOrd” och ”password” samma lösenord. Detta innebär att en attackerare behöver prova betydligt färre lösenord än vad som skulle behövas ifall Loopia gjorde skillnad på stora och små bokstäver i lösenorden.

Exemplet ”password” går att skriva på totalt sett 256 olika sätt, men tack vare att Loopia inte gör skillnad på stora och små bokstäver i lösenorden så resulterar alla de 256 varianterna i ett och samma lösenord.

Specialtecken

Loopias tredje brist vad gäller lösenorden rör sig om specialtecken, det vill säga alla tecken som ligger utanför a-z och 0-9. De tillåter helt enkelt inte att man har sådana tecken i lösenordet.

En av de vanligaste rekommendationerna för att skapa (relativt) säkra lösenord är att de skall vara minst åtta tecken långa, de skall innehålla både stora och små bokstäver, siffror samt specialtecken. Lösenordet skall så klart inte bestå av ord som hittas i ordlistor eller liknande heller.

Vad spelar då specialtecknena för roll, de är ju bara tecken precis som vanliga bokstäver och siffror?

Det de bidrar med är ökad komplexitet, det blir helt enkelt oerhört mycket fler tecken en angripare måste prova för att komma fram till rätt lösenord.

Klartext

Den här punkten trodde jag inte att jag skulle se hos Loopia och jag är ärligt talat förvånad. I princip sett alla sidor man loggar in på har någon form av funktion för de som glömt bort sitt lösenord. I regel bygger det på att man får en länk mailad till sig som man sedan får klicka på för att ”återställa” sitt lösenord. Detta betyder i regel att man antingen får ange ett nytt eller att man helt enkelt får ett nytt lösenord slumpat och skickat till sig.

Med Loopia fungerar det inte så. I och för sig får man en länk mailad till sig som man sedan är tvungen att klicka på, länken i sig fungerar endast en gång. Jag trodde däremot att man då skulle få en bekräftelse på att ett nytt lösenord hade skickats eller att man själv fick ange ett nytt lösenord. Så var inte fallet.

I stället fick jag på skärmen framför mig upp mitt lösenord. Detta innebär att Loopia antingen har lösenorden lagrade i klartext (något som ur säkerhetssynpunkt är oerhört alarmerande i så fall), eller så lagrar de lösenorden på ett sådant sätt att de kan dekryptera dem.

En grundregel är att lösenord bör lagras som en hash av något slag, det vill säga krypterade med en envägsfunktion som gör att lösenordet inte går att återskapa. Dessutom bör en sådan hash även vara ”saltad”. Detta innebär att man tillsatt någon ytterligare form av textsträng innan den sista hashningen utförs. På så sätt stärker man upp säkerheten än mer.

Vad säger Loopia om ovanstående?

Jag har kontaktat Loopia om ovanstående brister men fortfarande inte fått någon respons från dem. Får jag svar från dem kommer jag att uppdatera artikeln.

Men de andra webbhotellen då?

Det finns så klart fler aktörer på marknaden och jag har även tagit mig en närmre titt på en av dem, nämligen Binero (före detta Aleborg).

Jag vill börja med att säga att skälet till att det blev just Loopia och Binero som togs upp i denna artikel är att jag är kund hos dem båda, något annan anledning rör det sig inte om. Jag har däremot förståelse för att det lätt kan framstå som någon reklampost, men så är alltså inte fallet.

Hos Binero var det en betydligt bättre lösenordshantering som mötte mig. Specialtecken tilläts, lösenord kunde inte återfås i klartext och man var inte heller begränsad till lösenord på maximalt 16 tecken.

Däremot upptäckte jag att de inte gjorde skillnad på stora och små bokstäver. Jag kontaktade även dem om detta och fick mycket snabbt ett trevligt svar från Bineros VD Anders Aleborg. Han berättade att de omedelbart hade fixat till den missen och att de även slutat att skicka lösenord via e-post.

I mina ögon är detta ett mycket föredömligt agerande och Binero skall ha beröm för att ha agerat så fort som de gjorde.

Binero beskriver öppet sina förbättringar i sin blogg, mycket trevligt!

Uppdatering, Loopia har svarat

2008-01-28 kl 17:10

Nu har Loopia svarat på mitt mail:

Jag kommer att vidarebefordra din information till våra servertekniker och
som kommer att kontrollera dina sypunkter angående vårt system. Däremot så
kan jag inte svara på hur vi i dagsläget har krypterat lösenorden samt
varför vi inte gör skillnad på små och stora bokstäver.

I mitt mail frågade jag inte hur de krypterade lösenorden, jag undrade däremot hur det kom sig att de lagrade lösenorden i klartext, eller i varje fall använde en metod som innebär att lösenorden går att få ut i klartext.

Vad tycker ni om responsen från dem?

Känner ni till fler webbhotell med liknande brister?

2008-01-29 kl 16:38

En läsvärd kommentar från Christofer, som även han har märkt av Loopias miss, påvisar att Loopia har känt till bristen i åtminstone fem månader med.

Uppdatering, Loopia bemöter kritiken i TechWorld Säkerhet

2008-01-31 kl 12:48

Efter min artikel blev jag uppringd av Joel Brandell från Techworld Säkerhet som ville genomföra en kort liten intervju, var inte helt beredd på det men det var så klart trevligt. Intervjun inkluderades i Techworld Säkerhets artikel om Loopias bristande hantering av lösenord. Där bad Loopia att få återkomma, något de nu har gjort.

Loopia lovar nu att förbättra sin säkerhet, något som så klart är positivt.

Loopias kontorschef Jimmie Eriksson vill inte berätta om vilka säkerhetslösningar som man använder sig av, men säger att man arbetar på att förbättra säkerheten.

Jimmie Eriksson skriver även följande i en kommentar

Det största hotet idag är dock inte säkerhetsmekanismen, utan användningen av enkla, osäkra lösenord

Han har så klart en poäng i detta, men de svagheter hos Loopias lösenordshantering jag beskrivit ovan påverkar inte de som har svaga lösenord.

De lösenord som drabbas är de som normalt sett skulle kunnat varit betydligt starkare, det är alltså de ”skötsamma” användarna som drabbas.

Loopia skall även genomföra en kampanj framöver där de ska informera om hur man använder säkra lösenord, detta är något mycket positivt och något jag gärna skulle se hos många företag.

Jimmie ville inte heller kommentera uppgifterna om att lösenorden skulle lagras i klartext, men säger att de skall förbättra krypteringen. Man kan ju tycka att ifall de krypterade lösenorden i dagsläget så är det märkligt att i så fall inte svara att man lagrar dem krypterat.

Hur som helst är det trevligt att se att Loopia tagit till sig av kritiken och bygger vidare mot säkrare lösningar!