Fok maakt nog gebruik van MD5

quote:

Op dinsdag 25 augustus 2009 00:26 schreef Dropdown het volgende:
Kwaliteitstopic om 6 voor half 1. Zal wel dinsdag zijn

quote:

Op dinsdag 25 augustus 2009 00:24 schreef Japsnars het volgende:
Bijna iedere webdeveloepr weet wel dat MD5 wachtwoorden over het algemeen redelijk makkelijk te kraken zijn dankzij gigantische databases die zo ongeveer alle wachtwoorden van 1-9 tekens met lowerUPPER1234567890!@#$%^ bevatten.

Toch blijkt nu dat een van de grootste, al dan niet de grootste, online community van Nederland nog steeds simpelweg normale MD5 encryptie gebruikt.

Hoe lui en onwetend zijn de dev's van fok dan dat ze nog steeds md5() gebruiken ipv bijvoorbeeld een dubbele md5 ( md5(md5($pass)) ) of een salt ( md5($pass.$salt) )

Op zo'n manier kan je er gewoon op wachten dat een van de crew wachtwoorden wordt gekraakt en daarnaast worden alle FOK! users nu ook lekker gescrewed als blijkt dat de cracker een complete kopie heeft gemaakt van iedereens email adres + wachtwoord.

Way to go

quote:

Op dinsdag 25 augustus 2009 00:31 schreef Japsnars het volgende:

[..]

Met een beetje programmeer kennis kan je goud geld verdienen

quote:

Op dinsdag 25 augustus 2009 00:29 schreef Dibble het volgende:
Ga met Iteejer samen om de tafel zou ik zeggen voor een diep gesprek

quote:

Op dinsdag 25 augustus 2009 00:39 schreef Fascination het volgende:
MD5, nu nog? Jezus dat kan echt niet meer nee.

_{Ik heb geen idee waar het over gaat.}

quote:

Op dinsdag 25 augustus 2009 00:39 schreef Fascination het volgende:
MD5, nu nog? Jezus dat kan echt niet meer nee.

_{Ik heb geen idee waar het over gaat.}

quote:

Op dinsdag 25 augustus 2009 00:39 schreef Fascination het volgende:
MD5, nu nog? Jezus dat kan echt niet meer nee.

_{Ik heb geen idee waar het over gaat.}

quote:

Op dinsdag 25 augustus 2009 00:41 schreef dWc_RuffRyder het volgende:
Dit account is overgenomen door Peter Havenaar die in de Van ’t Hoffstraat kaasspeciaalzaak Weydeland leidt.

[ afbeelding ]

quote:

Op dinsdag 25 augustus 2009 00:41 schreef Core2 het volgende:
Goh echt gast? Dat dit nog niet eerder genoemd is in de talloze topics en op de fp over de hack!

quote:

Op dinsdag 25 augustus 2009 00:24 schreef Japsnars het volgende:
Bijna iedere webdeveloepr weet wel dat MD5 wachtwoorden over het algemeen redelijk makkelijk te kraken zijn dankzij gigantische databases die zo ongeveer alle wachtwoorden van 1-9 tekens met lowerUPPER1234567890!@#$%^ bevatten.

Toch blijkt nu dat een van de grootste, al dan niet de grootste, online community van Nederland nog steeds simpelweg normale MD5 encryptie gebruikt.

Hoe lui en onwetend zijn de dev's van fok dan dat ze nog steeds md5() gebruiken ipv bijvoorbeeld een dubbele md5 ( md5(md5($pass)) ) of een salt ( md5($pass.$salt) )

Op zo'n manier kan je er gewoon op wachten dat een van de crew wachtwoorden wordt gekraakt en daarnaast worden alle FOK! users nu ook lekker gescrewed als blijkt dat de cracker een complete kopie heeft gemaakt van iedereens email adres + wachtwoord.

Way to go

quote:

Op dinsdag 25 augustus 2009 00:45 schreef Breuls het volgende:
Nee, we hebben nu echt de ultrabeste stuff geregeld.

quote:

Op dinsdag 25 augustus 2009 00:44 schreef LudoSanders het volgende:
Maar MD5 is dus niet echt topkwaliteit hasj?

quote:

Op dinsdag 25 augustus 2009 00:47 schreef mschol het volgende:

[..]

had je er niet ook wat peper bij willen hebben dan?

quote:

Op dinsdag 25 augustus 2009 00:43 schreef Japsnars het volgende:

[..]

Klopt, als een user aanmeld of zijn password veranderd; genereer je een random salt. Bijvoorbeeld: '7%4Ks' deze sla je vervolgens ook gewoon op in de database, dit kan in een nieuwe tabel maar ook gewoon in de password tabel. Vervolgens fetch je de salt bij het inloggen en controleer je alles.

Het grote nadeel van salts is dus wel dat je steeds de salt moet fetchen wat toch weer extra DB-load kost.

quote:

Op dinsdag 25 augustus 2009 00:49 schreef Breuls het volgende:

[..]

Oh we zijn goed gekruid hoor.

quote:

Op dinsdag 25 augustus 2009 00:44 schreef Breuls het volgende:

[..]

Voor de nuance mag je dit lezen: http://foknl.wordpress.com/2009/08/24/ongezouten-toegang/

quote:

Op maandag 24 augustus 2009 23:19 schreef Danny het volgende:
Beste FOK!ker,

zoals jullie weten zijn we afgelopen zaterdag aangevallen door een hacker die in md5 gehashte vorm opgeslagen passwords heeft ontfutseld. MD5 is in haar standaard vorm tegenwoordig relatief eenvoudig te kraken en dus moest daar een betere oplossing voor komen. Die is er en die zal op zeer korte termijn (vanavond nog) worden doorgevoerd.

Om te voorkomen dat de hacker zich alsnog met de buitgemaakte passwords toegang kan verschaffen tot accounts van gebruikers zullen we ook alle passwords resetten. Dit houdt in dat je zodra je uitlogt pas weer kunt inloggen als je de passmailer gebruikt en op die manier een nieuw wachtwoord hebt gekregen. Die kun je dan weer veranderen via de profielinstellingen. Tussentijds je wachtwoord veranderen kan niet omdat het zonder ingesteld password onmogelijk is in te loggen.

We raden iedereen aan zo snel mogelijk uit te loggen en na verificatie dat inloggen inderdaad niet meer mogelijk is de passmailer te gebruiken. We begrijpen dat dit een lastige procedure is, maar in dit geval kiezen we voor volledige veiligheid.

Mochten er toch problemen zijn, stuur dan even een mail naar forum@fok.nl. We zullen er dan zo snel mogelijk naar kijken.

We rekenen op jullie begrip voor deze situatie.
De Crew

quote:

Op dinsdag 25 augustus 2009 01:01 schreef Japsnars het volgende:

[..]

Ik lees niet ieder uur de mededelingen? Jij wel dan

Als jij iedere 5 minuten de aankondigingen refreshed, dan faal jij toch echt harder

quote:

Op dinsdag 25 augustus 2009 00:57 schreef Japsnars het volgende:

[..]

True, maar dan kom je weer terecht bij het kraak proces.
Je kan ofwel een password brute-forcen (Je genereert random wachtwoorden en vergelijkt de gecodeerde hash hiervan met de hash die je uit de database hebt geplukt)
Of je kan een password vergelijken tegenover een al bestaande database die passwords en de bijbehorende salts bevat. Meestal worden hiervoor rainbow tables gebruikt.

Deze rainbow tables bevatten slechts hashes in de standaard encryptie vorm en dus niet de encryptie vorm met salt. Hierdoor kan je de gejatte password hash niet meer afsteken tegenover zo'n soort database.

De enige overgebleven manier blijft brute-forcen, dit kost vaak enorm veel tijd en omdat iedere gebruiker een random salt krijgt; kan de hacker ook maar 1 wachtwoord met 1 salt tegelijk brute-forcen

quote:

Op dinsdag 25 augustus 2009 01:05 schreef Japsnars het volgende:

[..]

Maar jij begrijpt niet dat sommige mensen, waaronder ik dus, nog een forum pagina openhebben staan in hun browser en vervolgens gewoon af en toe op MyAT klikken ipv op index?

quote:

Op dinsdag 25 augustus 2009 01:05 schreef Japsnars het volgende:

[..]

Maar jij begrijpt niet dat sommige mensen, waaronder ik dus, nog een forum pagina openhebben staan in hun browser en vervolgens gewoon af en toe op MyAT klikken ipv op index?

quote:

Op dinsdag 25 augustus 2009 01:06 schreef Breuls het volgende:
Ja, de een ziet zo'n mededeling wel, de ander niet. Ga elkaar daar nou niet op lopen aanvallen, ieder zijn meug en dus zijn browsemethoden.

quote:

Op dinsdag 25 augustus 2009 01:08 schreef Adolecens het volgende:

[..]

Hey! Welkom terug.. Goed en lekker rustig weekend gehad?

quote:

Op dinsdag 25 augustus 2009 00:30 schreef trancethrust het volgende:

[..]

Half 1.. Zal ik nog wat noodles naar binnen werken?

quote:

Op dinsdag 25 augustus 2009 01:18 schreef Mr.Noodle het volgende:
Wat is dat "zout" gebeuren voor iets? Ik bedoel dat SHA2 512-bits encryption zal wel weer een bepaalde encryptiemethode zijn maar waarom gooi je er nog een korrel zout op?

quote:

Op dinsdag 25 augustus 2009 00:57 schreef Japsnars het volgende:

[..]

True, maar dan kom je weer terecht bij het kraak proces.
Je kan ofwel een password brute-forcen (Je genereert random wachtwoorden en vergelijkt de gecodeerde hash hiervan met de hash die je uit de database hebt geplukt)
Of je kan een password vergelijken tegenover een al bestaande database die passwords en de bijbehorende salts bevat. Meestal worden hiervoor rainbow tables gebruikt.

Deze rainbow tables bevatten slechts hashes in de standaard encryptie vorm en dus niet de encryptie vorm met salt. Hierdoor kan je de gejatte password hash niet meer afsteken tegenover zo'n soort database.

De enige overgebleven manier blijft brute-forcen, dit kost vaak enorm veel tijd en omdat iedere gebruiker een random salt krijgt; kan de hacker ook maar 1 wachtwoord met 1 salt tegelijk brute-forcen

quote:

Op dinsdag 25 augustus 2009 08:07 schreef Japsnars het volgende:

[..]

Bedoel je niet jezelf?
[ afbeelding ]

Sorry, ik zelf doe nog VWO. Maar iedere webdeveloper moet deze kennis over beveiliging hebben wil hij goede en vooral degelijke websites kunnen maken

quote:

Op dinsdag 25 augustus 2009 08:10 schreef jitzzzze het volgende:
Ik kan er niet wakker van liggen, sorry

quote:

Op dinsdag 25 augustus 2009 08:12 schreef AlphaOmega het volgende:

[..]

Ik eigenlijk ook niet, al vind ik dit soort eikelpoets topics altijd wel komisch. Vooral het gebrek aan inzicht. Het feitjesneuken kunnen ze, maar het begrip waarom bepaalde zaken zijn zoals ze zijn, dat is lastig.

quote:

Op dinsdag 25 augustus 2009 08:50 schreef YoshiBignose het volgende:
Je verwacht toch wel dat een groot forum (met ook veel betaalde users) wel een beetje normale beveiliging heeft. Dit is gewoon heel erg slecht.

quote:

Op dinsdag 25 augustus 2009 08:50 schreef YoshiBignose het volgende:
Je verwacht toch wel dat een groot forum (met ook veel betaalde users) wel een beetje normale beveiliging heeft. Dit is gewoon heel erg slecht.

quote:

Op dinsdag 25 augustus 2009 00:44 schreef Breuls het volgende:

[..]

Voor de nuance mag je dit lezen: http://foknl.wordpress.com/2009/08/24/ongezouten-toegang/

quote:

Op dinsdag 25 augustus 2009 08:56 schreef jitzzzze het volgende:

[..]

Het was (en is) ook een normale beveiliging.

quote:

Op dinsdag 25 augustus 2009 09:04 schreef SeanFerdi het volgende:

[..]

ja, het zou me verbazen als niet driekwart van de site's zo in elkaar zitten, of dat ze de wachtwoorden zelfs plaintext opslaan.

10 jaar geleden was dit waarschijnlijk gewoon aardige beveiliging, en was Fok! net even wat kleinschaliger, en kan ik me voorstellen dat security dan niet echt prioriteit één was.


wat dat betreft is het misschien handig om eens in de zoveel jaar een momentje te hebben waar bijvoorbeeld nagegaan wordt of de beveiliging en misschien ook opvattingen over privacy nog wel voldoende zijn.

quote:

Op dinsdag 25 augustus 2009 09:05 schreef jitzzzze het volgende:

[..]

En jij denkt serieus dat dat niet gebeurt?

quote:

Op dinsdag 25 augustus 2009 09:30 schreef SeanFerdi het volgende:

[..]

nou ja, ze lopen op de één of andere manier al 10 jaar met md5 rond...

quote:

Op dinsdag 25 augustus 2009 09:48 schreef Lastpost het volgende:
Md5 is dan wel achterhaald, maar als je code gewoon klopt/veilig is merkt niemand daar toch iets van?

quote:

Op dinsdag 25 augustus 2009 10:22 schreef SeanFerdi het volgende:

[..]

tot iemand wel in je database terecht komt... en dan heeft iedereen die z'n wachtwoord in goed vertrouwen heeft afgegeven een probleem. want die md5 valt relatief makkelijk te kraken.

hier kwamen ze ook via 3rd party code in de database terecht, dus je hebt het niet altijd helemaal in de hand.

quote:

Op dinsdag 25 augustus 2009 10:22 schreef SeanFerdi het volgende:

[..]

tot iemand wel in je database terecht komt... en dan heeft iedereen die z'n wachtwoord in goed vertrouwen heeft afgegeven een probleem. want die md5 valt relatief makkelijk te kraken.

hier kwamen ze ook via 3rd party code in de database terecht, dus je hebt het niet altijd helemaal in de hand.

quote:

Op dinsdag 25 augustus 2009 10:29 schreef AlphaOmega het volgende:

[..]

Mensen die in goed vertrouwen wachtwoorden delen binnen een organisatie... Dan heb je toch een structureel probleem... of gewoon pauperwerknemers.

quote:

Op dinsdag 25 augustus 2009 10:27 schreef Lastpost het volgende:

[..]

Maar dat bovenstaande is natuurlijk bij alles van toepassing, kan me deur nog zo goed dichtdoen, als het achterraam open staat komen ze ook binnen.
...

quote:

Op dinsdag 25 augustus 2009 10:31 schreef mschol het volgende:

[..]

alsof dat zo bijzonder is

quote:

Op dinsdag 25 augustus 2009 10:31 schreef mschol het volgende:

[..]

alsof dat zo bijzonder is

quote:

Op dinsdag 25 augustus 2009 10:33 schreef SeanFerdi het volgende:

[..]

ja, daarom is het dus zo belangrijk dat het niet als simpele md5 wordt opgeslagen.

een MD5 valt tegenwoordig veels te snel terug te halen, waardoor de hacker in principe het wachtwoord weet van een eindgebruiker, waarmee hij bij andere site's, z'n e-mail, of zelfs zijn online bankieren kan binnen komen (en ja, dat is stom van de eindgebruiker, maar dan nog)

als site leg je gevoelige informatie van een persoon vast, en dan vind ik dat je daarmee ook een verantwoordelijkheid op je neemt, om die informatie te beschermen.


en om een wachtwoord te beschermen, hoef je maar een heel klein beetje extra moeite te doen om het vele malen moeilijker te maken voor een hacker om een wachtwoord te achterhalen.

quote:

Op dinsdag 25 augustus 2009 10:36 schreef AlphaOmega het volgende:

[..]

Brabbel brabbel.... een MD5 terughalen? Ga nu eens in een beetje meer detail uitleggen wat je probeert te zeggen?

quote:

Op dinsdag 25 augustus 2009 10:37 schreef SeanFerdi het volgende:

[..]

ik moet nu weg, maar misschien kom ik hier vanmiddag nog wel op terug.

quote:

Op dinsdag 25 augustus 2009 10:33 schreef SeanFerdi het volgende:

[..]

ja, daarom is het dus zo belangrijk dat het niet als simpele md5 wordt opgeslagen.

een MD5 valt tegenwoordig veels te snel terug te halen, waardoor de hacker in principe het wachtwoord weet van een eindgebruiker, waarmee hij bij andere site's, z'n e-mail, of zelfs zijn online bankieren kan binnen komen (en ja, dat is stom van de eindgebruiker, maar dan nog)

als site leg je gevoelige informatie van een persoon vast, en dan vind ik dat je daarmee ook een verantwoordelijkheid op je neemt, om die informatie te beschermen.


en om een wachtwoord te beschermen, hoef je maar een heel klein beetje extra moeite te doen om het vele malen moeilijker te maken voor een hacker om een wachtwoord te achterhalen.

quote:

Op dinsdag 25 augustus 2009 10:29 schreef AlphaOmega het volgende:

[..]

Mensen die in goed vertrouwen wachtwoorden delen binnen een organisatie... Dan heb je toch een structureel probleem... of gewoon pauperwerknemers.

quote:

Op dinsdag 25 augustus 2009 10:53 schreef blaatertje het volgende:

[..]

Volgens mij heeft bijna elk bedrijf zulke werknemers.
Ik sta altijd versteld dat ze gwoon alle wachtwoorden van iedereen op een afdeling weten ofzo. En dan praat ik niet alleen over kleine bedrijfjes, maar ook over multinationals. En ze geven zo'n wachtwoord net zo makkelijk aan mij. Bij veel bedrijven krijg ik zelfs het admin wachtwoord als ik op een server moet zijn.

En mensen wensen niet over beveiliging te denken. Krijg je een UPS Invoice mailtje (virus) dan open je dat gewoon. Versturen wij wel eens pakketten met UPS? Nee. Verstuur jij wel eens pakketten? Nee. Ben jij de persoon die facturen moet verwerken? Nee. Waarom open je dan in hemelsnaam zulke mailtjes en zeker hun attachments?
Dan gaat er een mailtje rond die uitlegt waar je op kunt leggen. Gebeurt het gewoon weer (zelfde persoon natuurlijk). Gaat weer een mailtje rond waar je op moet letten bij mailtjes, algemeen opgesteld. Komen ze rustig op hoge poten verhaal halen of je het op hun gemunt hebt. Nou ja, eigenlijk wel, want je bent al twee keer zo stom om iets te openen wat je niet moest openen. En de tweede keer wist je waar op te letten.

Kortom, je kunt coderen wat je wilt. De mens is de zwakste schakel. En wie nu piept dat de hacker zijn wachtwoord weet. Vette pech. Je moet ook niet op alle sites hetzelfde wachtwoord gebruiken. Als Danny tot nu toe de wachtwoorden niet gehashed had, dan had hij vrolijk met jouw username en wachtwoord kunnen rotzooien op andere sites. Puur omdat hij rechtstreeks in de database kan kijken.