Wachtwoordadvies in verband met mogelijk veiligheidslek

Vandaag werd ons bekend dat bij CloudFlare, een dienstverlener waar FOK! gebruik van maakt voor performance-optimalisatie en beveiliging, een datalek heeft bestaan. Dit lek zorgde ervoor dat het mogelijk was dat gegevens die langs hun servers kwamen, zichtbaar waren voor derden. CloudFlare heeft het lek gedicht en schat de kans dat er veel privégegevens openbaar geworden zijn in als erg klein.

Voor gebruikers van FOK! is het grootste veiligheidsrisico dat, tijdens een loginsessie, het gebruikte wachtwoord ergens zichtbaar is geworden. Dat betekent dat potentieel iemand andermans FOK!login zou kunnen hebben achterhalen, en dus gebruik kan maken van dat account. Hoewel de kans dat dat is gebeurd volgens CloudFlare bijzonder klein is, willen we alle gebruikers toch graag een wachtwoordwijziging, uit voorzorg, in overweging geven. Het is niet nodig om halsoverkop richting een wachtwoordwijziging te rennen, maar in dit soort gevallen geldt altijd dat het bij twijfel nooit kwaad kan om je wachtwoord even te wijzigen. Het is immers sowieso, uit veiligheidsoogpunt, verstandig om af en toe wachtwoorden aan te passen.

Als je je FOK!wachtwoord wil wijzigen, dan kan dat op de wijzig profiel-pagina. Je hebt hiervoor je huidige wachtwoord nodig. Kies een veilig nieuw wachtwoord, en zeker geen wachtwoord dat je ooit ergens anders hebt gebruikt.

Nogmaals: de kans dat er iets is uitgelekt is, voor zover bekend, klein, maar het kan nooit kwaad om jezelf een beetje extra zekerheid te geven.

Mocht er aanvullende (voor FOK!kers) relevante informatie bekend worden over het CloudFlare-lek, dan zullen we dat melden.

Er is in het Feedback-topic enige onduidelijkheid ontstaan over hoe wij wachtwoorden opslaan, naar aanleiding van deze tekst:

quote:

Voor gebruikers van FOK! is het grootste veiligheidsrisico dat, tijdens een loginsessie, het gebruikte wachtwoord ergens zichtbaar is geworden.

Wellicht is het prettig om dit nog iets toe te lichten. FOK! slaat wachtwoorden nooit leesbaar, of 'plaintext' zoals dat heet, op. Al sinds het ontstaan van de site maken wij een hash van de wachtwoorden, een versleuteling die niet terug te draaien is, en op basis van die hash controleren we bij het inloggen of je het juiste wachtwoord gebruikt. Door de jaren heen hebben we hier steeds verbeteringen in doorgevoerd, om achterhaalde technieken te vervangen door modernere, meer veilige technieken, en dat zullen we in de toekomst ook blijven doen.

In het kort: je wachtwoord wordt versleuteld en onomkeerbaar opgeslagen. Wij kunnen niet zien wat je wachtwoord is. Bij het opsturen van je wachtwoord echter, zoals wanneer je inlogt of een nieuw wachtwoord instelt, stuur je dit wachtwoord over het internet naar ons, en op dat moment passeert het de servers van CloudFlare. Het is in dit moment dat er mogelijk wachtwoorden gelekt zijn naar plekken waar deze niet terecht horen te komen. Maar zoals hierboven ook al aangegeven; die kans is erg klein.

Momenteel zijn we in het ontwikkel- en serverteam overigens bezig om het verzenden van je wachtwoord tijdens het inloggen of wijzigen nog iets veiliger te maken. Daarover zullen we je later mogelijk nog informeren.