Dustin i blåsväder för lösenord i klartext

Nej tydligen inte, webbdesignskursen jag gick missade att förklara hur man ser att en sida är kriminell. Återigen, vad är det på sidan som speglar deras, enligt dig, en kriminell verksamhet? "Kriminella sidor" brukar ju vara fyllda med popups, spam, felaktiga länkar, grova stavfel, stulna bilder, felaktiga logotyper och text med mera..

Adobe hade krypterat sina lösenord åtminstonne. Det är iofs illa det med...

Skulle vara underbart, tackar.

Nu var ju min uppmaning riktad till nyhetsbevakningen, och inget jag krävde att "gemene man" redan skulle insett.

Däremot tyder alla utrop om bojkott från sweclockersanvändare på riktigt rutten säkerhetsinställning. Det innebär att ni antar att ett system som ni inte har någon insyn i annars skyddar era uppgifter tillfredställande. Sluta anta det. Vad ni känner till gör _ingen_ webbshop det. Att ett pr-utskick säger motsatsen ska inte styra era säkerhetsvanor.

Skickades från m.sweclockers.com

Dustin har nu infört en ny säkerhetslösning vid inloggning till vår webb. Den innebär att samtliga kunders lösenord kommer vara krypterade*. Vi har valt att påskynda övergången till den nya säkerhetslösningen då man på olika webforum har uttryckt oro kring lagringen av lösenord i vårt gamla system. Omläggningen görs en kund i taget och beräknas vara klar inom några dagar. Du kan själv kontrollera om ditt lösenord har blivit krypterat redan nu. Logga in på vår webb och gå till ”Mitt konto”. Ett låst hänglås innebär att lösenordet är krypterat. Om lösenordet inte redan är krypterat behöver du bara logga ut och därefter logga in igen. Då kommer lösenordet direkt att bli krypterat.

*Teknisk fotnot: Lösenord kommer att hashas med algoritmen bcrypt med salt per kund. Det tidigare klartextlösenordet raderas.

Har ni några frågor är ni välkomna att kontakta mig direkt på passwordquestions-to-per@dustin.se

Med vänliga hälsningar,
Per Lengquist
IT Director, Dustin

Dustin har nu infört en ny säkerhetslösning vid inloggning till vår webb. Den innebär att samtliga kunders lösenord kommer vara krypterade*. Vi har valt att påskynda övergången till den nya säkerhetslösningen då man på olika webforum har uttryckt oro kring lagringen av lösenord i vårt gamla system. Omläggningen görs en kund i taget och beräknas vara klar inom några dagar. Du kan själv kontrollera om ditt lösenord har blivit krypterat redan nu. Logga in på vår webb och gå till ”Mitt konto”. Ett låst hänglås innebär att lösenordet är krypterat. Om lösenordet inte redan är krypterat behöver du bara logga ut och därefter logga in igen. Då kommer lösenordet direkt att bli krypterat.

*Teknisk fotnot: Lösenord kommer att hashas med algoritmen bcrypt med salt per kund. Det tidigare klartextlösenordet raderas.

Har ni några frågor är ni välkomna att kontakta mig direkt på passwordquestions-to-per@dustin.se

Med vänliga hälsningar,
Per Lengquist
IT Director, Dustin

Sorry för sent svar, glömde helt bort att jag skulel återkomma.

Vår IT avdelning lät hälsa "hash+salt" men att de inte ville gå in på mer exakta detaljer än så offentligt.

Dustin har nu infört en ny säkerhetslösning vid inloggning till vår webb. Den innebär att samtliga kunders lösenord kommer vara krypterade*. Vi har valt att påskynda övergången till den nya säkerhetslösningen då man på olika webforum har uttryckt oro kring lagringen av lösenord i vårt gamla system. Omläggningen görs en kund i taget och beräknas vara klar inom några dagar. Du kan själv kontrollera om ditt lösenord har blivit krypterat redan nu. Logga in på vår webb och gå till ”Mitt konto”. Ett låst hänglås innebär att lösenordet är krypterat. Om lösenordet inte redan är krypterat behöver du bara logga ut och därefter logga in igen. Då kommer lösenordet direkt att bli krypterat.

*Teknisk fotnot: Lösenord kommer att hashas med algoritmen bcrypt med salt per kund. Det tidigare klartextlösenordet raderas.

Har ni några frågor är ni välkomna att kontakta mig direkt på passwordquestions-to-per@dustin.se

Med vänliga hälsningar,
Per Lengquist
IT Director, Dustin

Du har väl övertalat mig då. Hade för mig att man kunde välja iterationer med SHA256 också, men blandade ihop det med PBKDF2 och Hmac

Ah! Jag skrev också lite dumheter. SHA-256 är en del av SHA-2, som inehåller SHA-224, SHA-256, SHA-384 och SHA-512. Den egentliga efterträdaren är väl SHA-3 som är helt annorlunda algoritm. (Men det är väl ok då SHA står för Secure Hasing Algorithm)

Att hasha hashar hjälper inte så mycket då man snabbt får bra resultat med en Rainbow tabell. Dessutom så går en hyggligt snabb persondator med grafikkort igenom flera miljarder hashes per sekund, så 500 gånger långsammare är inte hela världen

Sweclockers blir allt mer som Aftonbladet. Sad panda.

Hej Tomas!

Vi är tacksamma för all återkoppling och feedback från våra kunder!

Jag har tagit det här vidare till vår säkerhetsansvariga då det är han som hanterar sådana problem. Just denna fråga kring lösenordet är något som diskuteras redan och de försöker hitta en bättre lösning på det. I dagsläget så håller vi på utveckla en ny webbplattform där lösenordet ska hanteras annorlunda än det görs idag.

Om du vill så kan jag alltid gå in och avaktivera ditt konto så att du kan skapa ett annat där du även kan ändra ditt lösenord. Återkom i så fall till mig så kan jag fixa resten!

Problemet är att folk är för naiva som tror att allt sköts med "best practise". T.ex. så finns det ju hemsidor som lagrar dina VISA-kort-data, så för att minimera eventuella förluster då någon får tag i den datan så bör man inte ha VISA-kortet kopplat till sparkontot.