Inloggen en registreren op het forum zonder HTTPS

[Knakker29]

Dat is een constructievere formulering

Je moet het ook in perspectief zetten, in je vorige reactie haal je ook een aantal punten aan die zeker waar zijn, maar het is niet óf-óf maar én-én. In praktisch opzicht is het ook goed om het nu vast te doen, voorkom je dat iedereen in de loop van het jaar een (prominentere) beveiligingsmelding krijgt wanneer de Google's dit (eindelijk eens) gaan invoeren zoals aangekondigd.

[guko]

Zeker fijn dat je erop wijst! Er zijn maar zeer weinig mensen bewust van hun voorkomen op internet. Maar dat had ook met een persoonlijk bericht gekund natuurlijk

Ik had gekeken op http://www.mountainbike.nl/content/contact om te zien wie ik daarvoor kon benaderen. Het enige adres dat daar stond was van de redactie. Dus daar heb ik, vier dagen geleden, een mailtje naar gestuurd. Toen ik daar geen antwoord op kreeg heb ik een berichtje geplaatst op het forum. Leek me handiger dan een willekeurig persoon of iedereen van http://www.mountainbike.nl/content/crew een bericht te sturen. D'r staan namelijk geen functieomschrijvingen achter de nicknames (site beheerder, moderater, etc)

Ik wil het issue zeker niet ontkennen, maar ik wil het wel in perspectief plaatsen. Ik leg het ook zeker bij onze CEO neer hoor, als je dat wat gerust stelt.

Top! Dank je wel.

[Demoniac]

Dus, wat is er nu zo "privé"? Je e-mailadres versus wachtwoord? Dat is hierboven al aangehaald, we hebben hopelijk niet allemaal overal dezelfde wachtwoorden. Je zou een HTTPS een schijnveiligheid kunnen noemen voor een niet al te interessant probleem. Het probleem is en blijft de gebruiker zelf, die compleet onwetend maar wat op internet kwakt. Je zult er altijd zelf voor moeten zorgen dat je wachtwoorden op orde zijn, en dat je voldoende variatie brengt in je wachtwoorden zodat het verlies van één geen domino effect aan "hacks" oplevert. Dat geldt overigens op IEDERE website, naar mijn bescheiden mening.

Dat zou inderdaad zo moeten zijn, maar in praktijk gebruiken een hoop mensen toch hetzelfde wachtwoord voor alles. Hun eigen verantwoordelijkheid, maar geen reden om als websitebeheerder niet een kleine handeling uit te voeren om het uitlekken van de wachtwoorden van je gebruikers weer wat lastiger te maken. Ik ben het wel eens met 'inloggen = HTTPS', hoe onbenullig de achterliggende informatie ook is. Two-factor authenticatie op een forum als dit, dat zou overbodig zware beveiliging zijn.
Mijn oplossing: LastPass, voor elke website een uniek wachtwoord van zoveel tekens als je wil. Over identiteitsfraude op dit forum maak ik me niet zo'n zorgen en als het wachtwoord onverhoopt onderschept zou worden, kan het nergens anders gebruikt worden.

[Bergbike]

Voor elke website een ander wachtwoord... Je wilt niet weten hoe vaak ik wachtwoorden moet resetten omdat ik er weer een # achter had geplaatst i.p.v. de meer gebruikelijke % (hypothetisch voorbeeld).

[nielsvk]

De weg naar een HTTPS-only web is al een tijdje geleden ingezet en wordt flink gepusht door o.a. Google. Vroeg of laat zullen sites die geen HTTPS gebruiken niet meer door browsers (en in zoekresultaten) weergegeven worden. Je kunt er voor kiezen om dat af te wachten en op te lossen als het zover is, of je kunt het voor zijn.

[kingjoop]

Vanuit mn werk heb ik ook nogal eens wat met (data)veiligheid te maken. Je kunt het zo spannend maken als je zelf wilt. De vraag is, wat zet het voor zoden aan de dijk?

Tijdens de registratie werden mij de voorwaarden getoond. Voor zij die ze even niet meer weten omdat ze zich al lang geleden zich geregistreerd hebben, dit zijn ze:



Nu zit ik in de trein, bieb of koffie tentje met gratis WiFi en ik wil effe wat lezen en posten op het forum van mountainbike.nl. Ik log in, en hoppa m'n gebruikersnaam en wachtwoord gaan in 'clear text' over het draadloze netwerk. Het is een koud kunstje voor andere gebruikers van dat WiFi netwerk dat te sniffen. Prompt worden er onder mijn naam/account kwetsende, obscene, vulgaire, lasterlijke, haatdragende, bedreigende, racistische, seksueel-georiënteerde of andere inhoud gepost die in strijd is met internationale wetten, de wetten van je eigen land of het land waar "Mountainbike.nl" gehost wordt. Allemaal gezeik aan m'n kop over wat ik zogenaamd gepost zou hebben. Jullie vatten het serieus op, waarschuwen m'n internet provider. Weet ik veel wat meer.

dit is nog wel leuke site voor je: http://www.zeitgeistmovie.com/" onclick="window.open(this.href);return false;

om in jouw termen terug te komen.. je kan een full face helm opzetten met goggles en nog kan je als je verkeerd valt een stok in je oogkast krijgen zoals met elke grote drop of double.. vaak ben je te bang je aanmelden op openbare netwerken brengt risico's met zich mee (en je kent ze dus waarom zou je het doen?)... de waarschuwing "aanmelden op deze website via openbaar netwerk is op eigen risico" opnemen in de algemene voorwaarden en het is ook opgelost

[Dice Oldskool]

Is dit nu ook de reden dat er om de haverklap paspoorten en vals geld aangeboden worden hier op het forum?

[ThaSingleTrackMastah]

Is dit nu ook de reden dat er om de haverklap paspoorten en vals geld aangeboden worden hier op het forum?

Dat los je met https niet op...

Ik voel wel mee met de mensen die dit liever via https zien gebeuren, maar ik ben het technisch met Shiv eens.
Het is maar een forum, het is openbaar, dus gewoon opletten met wat je schrijft.
Wie voor inloggen op het forum hetzelfde wachtwoord en/of gebruikersnaam gebruikt als voor z'n creditcard (om maar iets te noemen) is daaraan zelf schuld.
Overal eenzelfde gebruikersnaam/wachtwoord gebruiken is nooit verstandig.

Verder acht ik de kans velen malen groter dat iemand ongemerkt een trojan op z'n pc heeft, dan dat er iemand de bitjes richting mountainbike.nl gaat afluisteren.
Oftewel, het afluisteren zal hoogstwaarschijnlijk op jouw pc plaatsvinden, niet op de netwerkverbinding naar mountainbike.nl.
Dus hoe veilig is je eigen pc ?
Hoe vaak heb je illegale software gedownload, keygenerators gebruikt enz ?
Niets op het internet is gratis, die tijd is geweest, je betaald altijd.
Een goede trojan of bot verraad zijn aanwezigheid niet.
En vergeet je virusscanner, die baseert zich alleen op ervaring uit het verleden (bekende bedreigingen).

Dus ja, een https site met een goed certificaat stelt de mensen gerust, en nee, het lost niets op.

[Bowiex]

Naar ik aanneem zijn trouwens onze wachtwoorden ook niet openbaar voor de beheerders op het forum?
Deze zullen toch niet in een lijst opgeslagen staan? Natuurlijk zullen de gegevens ergens gematcht moeten worden bij inloggen maar dat gebeurd toch niet "lokaal"

Of heb ik het nu mis?

[kingjoop]

wachtwoorden worden op dit platform volgens mij versleuteld (SHA1, MD5 en SALT) opgeslagen.. beheerders kunnen dus alleen een wachtwoord wijzigen.. niet inzien..

[ThaSingleTrackMastah]

Een beheerder/moderator heeft jouw wachtwoord niet nodig om jouw bericht te wijzigen.
Daarin vertrouw je ze (of had je daar nog niet aan gedacht?).
Dan kan je dus ook je password wel aan ze toevertrouwen.

Maar wanneer het forum gehackt wordt, dan is het toch wel fijn als er wat data encrypted wordt opgeslagen...

[azazel]

wachtwoorden worden op dit platform volgens mij versleuteld (SHA1, MD5 en SALT) opgeslagen.. beheerders kunnen dus alleen een wachtwoord wijzigen.. niet inzien..

Wachtwoorden worden ge-hashed opgeslagen. De hashwaarde die berekent is op basis van jou wachtwoord kun je met een brute force attack achterhalen.
Afhankelijk van je gekozen wachtwoord (lengte) is dit gemakkelijk of heel moeilijk te achterhalen.

Veel wachtwoorden/hashwaardes zijn ook gewoon te googl'en wanneer de gebruiker een simpel wachtwoord gebruikt als : mountainbike, de hashwaarde waarin dit wachtwoord wordt opgeslagen als men MD5 als algoritme gebruikt is: 6ca2fedda1cea1acddd228661758e142. Copy/paste deze hashwaarde maar eens in google. dus : 6ca2fedda1cea1acddd228661758e142. Wedden dat je het wachtwoord: mountainbike kan achterhalen.

HTTPS beschermt de verbinding tussen de computer waarop je je inloggegevens invoert en de server waar ze uiteindelijk op belanden.
Dit zodat kwaadwillenden die op het netwerk zitten tussen deze twee systemen niet je data kunnen "afluisteren" Het verkeer word namelijk versleuteld verstuurt.

Met HTTP stuur je eigenlijk je inloggegevens die worden uitgewisseld tussen jou computer en de webserver van mountainbike.nl leesbaar over het internet.
Iedereen die deze data onderschept kan deze dus lezen.

De database van dit forum bevat een hele hoop gebruikersnamen en wachtwoorden van de gebruikers van dit forum.
Diegene die toegang heeft tot deze database, heeft dus ook toegang tot circa 75% van de wachtwoorden (eigenlijk toegang tot de hashwaardes die dus in circa 75% van de gevallen gemakkelijk te kraken zijn) hier gebruikt.

Het is dus zaak dat je daarom unieke wachtwoorden en sterke wachtwoorden (lengte is hierbij erg belangrijk!!) gebruikt op de verschillende websites waar je inloggegevens achterlaat.

Of je moet een uitmuntend vertrouwen hebben in diegene met toegang tot de database met inloggegevens.
Dan zou ik overal hetzelfde wachtwoord blijven gebruiken en zo gemakkelijk mogelijk..

Oe... het ging over https niet...

Lekker antwoord van de forum admin ook... dat wekt veel vertrouwen dat de gegevens in veilige handen zijn.
Maar gelukkig is cybersecurity niet zo'n hot topic tegenwoordig en heb ik erg veel moeite om mijn brood te verdienen.http://www.telegraaf.nl/buitenland/2815 ... val__.html

[azazel]

Een beheerder/moderator heeft jouw wachtwoord niet nodig om jouw bericht te wijzigen.
Daarin vertrouw je ze (of had je daar nog niet aan gedacht?).
Dan kan je dus ook je password wel aan ze toevertrouwen.

Maar wanneer het forum gehackt wordt, dan is het toch wel fijn als er wat data encrypted wordt opgeslagen...

Je moet dus echt nooit je wachtwoord afstaan... aan niemand! (dat is namelijk prive)
Wachtwoorden worden ge-hashed opgeslagen niet ge-encrypt.

Een hash kun je namelijk niet ontsleutelen, hetgeen je met versleutelde (encrypte) gegevens wel kunt en wat dan weer decrypten word genoemd.

[azazel]

Maar realiseer je wat je hier wilt beschermen ("beschermen") met https.

Je wachtwoord dat je zonder https plaintext (leesbaar) over het internet bonjourt bijvoorbeeld.

[Knakker29]

Wachtwoorden worden ge-hashed opgeslagen niet ge-encrypt.

Moet je dat natuurlijk wel doen (mompelt iets met babydump, was ook zo'n lekker belangrijke site )