Ett säkrare Binero
Postad av Anders januari 30th, 2008 i Binero, Hemsidan, Nyheter, Säkerhet Taggar: Lösenord, Säkerhet, Uppgradering
Det är viktigt att skydda det man älskar. Vi har därför infört lite nya rutiner när det gäller lösenordshanteringen för våra kunder. Att vi inte har berättat om detta tidigare beror på att vi har testat, finjusterat och säkerställt det hela ordentligt. I ljuset av bl a den kritik som våra kollegor på Loopia har fått så känner jag att det är dags att vi går ut med det här officiellt.
På inget sätt är vi givetvis helt klara och garanterat säkra, att säkerställa datorsystem är en ständig och fortlöpande process (som många av er säkert vet). Det är några steg på vägen och med er hjälp (och kommentarer) så kommer vi ännu längre.
Så här fungerar vår nya lösenordshantering:
- Alla lösenord är hashade och saltade
- Inloggningsuppgifter till vårt kundcenter
- Att återfå inloggningsuppgifterna
Det gäller inte bara lösenord till vårt kundcenter, utan även lösenord till FTP, e-post, databaser osv. Vi kan inte ens själva se vad våra kunder har angett för lösenord till sina konton. Om man som kund inte kommer ihåg ett lösenord så behöver man sätta ett nytt lösenord.
Uppgifterna till vårt kundcenter, som skickas ut via e-post, är numera en säker (SSL) och slumpad engångslänk. När man klickar på länken får man tillgång till ett nytt lösenord.
Om man har glömt sina inloggningsuppgifter så kan man begära att få dem utskickade till sig på nytt. Eftersom lösenordet är krypterat så kan vi inte visa upp det mer än en (1) gång. Det innebär att lösenordet ändras om man begär att få det utskickat igen.
Uppdaterat: hash är i det här sammanhanget inte någon illegal substans. Det är ett engelskt ord för en teknik som används för kryptering av lösenord. Det saknas ett bra svenskt ord för detta, om än att ”pölsa” hade kunnat funka 
Taggar: Lösenord, Säkerhet, Uppgradering
Vi är prisade för vår goda support, höga funktionalitet och kontrollpanel.
januari 30th, 2008 at 22:36
Trevligt och bra att ni tar tag i saker och ting
Ni skriver att ni krypterar, men jag tror ni menar hashar?
Kryptera Decryptera
Hasha <- Envägs
Alltså, ni hashar och kör med salt eller någon annan variant. Man kan inte återskapa en hash, men man kan jämföra hashen mot bland annat rainbowtables mm och på så sätt få ut lösenordet. Syftet med kryptering är att man kan dekryptera krypterad data.
Rätta och kommentera det jag skrivit om jag är ute och cyklar
januari 30th, 2008 at 22:49
Kristoffer, du har självklart rätt, lösenorden är hashade och saltade för att öka säkerheten ytterligare.
januari 30th, 2008 at 23:38
[...] Uppdatering (21:37): Binero har kommenterat min blogg, sagt att de nu åtgärdad detta och nu möter de krav som alla webmasters på WN mer eller mindre kräver, vilket var mycket väntat. Mer info om detta på deras blogg [...]
januari 30th, 2008 at 23:39
Det gick ganska fort tycker jag, från det att diskussionerna startat på WN för några dagar sedan
januari 31st, 2008 at 00:01
Härligt! Heja Binero!
januari 31st, 2008 at 00:07
”Alla lösenord är hashade och saltade” – lugnande att läsa!
januari 31st, 2008 at 09:52
Hascad vet jag vad det är men saltad….
Kan inte hjälpa det men får en bild av Anders springande med ett saltkar i serverhallen på full jakt efter oslatade burkar.
januari 31st, 2008 at 11:00
För ökad säkerhet vore det utmärkt om ni dessutom tillät anslutning med SFTP även för extra FTP-konton som skapas genom kontrollpanelen. (På vanliga konto går det alltid att köra SFTP.)
januari 31st, 2008 at 13:02
Bra initivativ!
Dock har jag ett förslag, kör med antingen bloggen eller med nyheter.
Denna artikel skulle ju tex lika gärna ha postats under nyheter?
.
Under nyheter har tex inget hänt sedan 1 dec medans ni har massor att rapportera i bloggen
SKala nere det till antingen blogg eller till nyheter är mitt tips!
januari 31st, 2008 at 13:38
Emil, det kommer vi att göra inom kort!
januari 31st, 2008 at 14:15
[...] Binero beskriver öppet sina förbättringar i sin blogg, mycket trevligt! [...]
januari 31st, 2008 at 14:36
Pierre
Ett hashad lösenord ger visserligen en ökad säkerhet när det gäller lösenord, men det går fortfarande
att få fram lösenordet i klartext genom att använda tabeller av kända lösenord som hashats. Man jämför
sedan hashen med andra hasher i tabellerna och får på så sätt fram lösenordet i klartext. (Det är En
variant av många för att få fram ett hashat lösenord i klartext)
Som exempel tar vi ordet ”hej” som får följande hash om vi använder md5
541c57960bb997942655d14e3b9607f9
”hej” blir alltid samma hashsträng och kan på så sätt lätt hittas genom att matcha kända hashsträngar
mot ”541c57960bb997942655d14e3b9607f9″
62549f6166503b68160186815d63b7a8 == 541c57960bb997942655d14e3b9607f9 ? matchar inte
541c57960bb997942655d14e3b9607f9 == 541c57960bb997942655d14e3b9607f9 ? Matchar
Ett salt används för att utöka säkerheten på det hashade lösenordet. Man kan göra det på följande sätt
$lösenord = binero;
$salt = ”ab7@p0″;
Saltet slumpas fram
$hashad_salt= md5($salt);
Man hashar det slumpade saltet och sparar det i databasen
$saltatPass = ”$lösenord+$salt”;
Man fogar samman saltet och lösenordet
$baked = md5($saltatPass);
Man hashar den sammanfogade strängen och sparar det i databasen
Per loggar in och skriver in användarnamn och lösenordet. Man hämtar saltet baserat på användarnamnet
och genererar lösenordet md5(hämtat salt+inskickat lösenord). Matchar sedan det genererade lösenordet
mot det som finns i databasen.
Helst ska man spara salt och lösenord på olika ställen för att maximera säkerheten. Man kan även köra loopar som hashar x antal gånger där x är slumpat och sedan spara undan värdet x för att kunna matcha lösenord när man loggar in.
En annan sak att tänka på är att detta endast är en fördröjningsprocess, eller ett segt moment för en hackare som kommit åt databasen. Detta system ger administratörer tid att reagera mot ett hack och byta ut lösenord osv för att göra det hackaren fått tag på inaktuellt.
OBS. Jag har säkert skrivit fel på ett flertal ställen och är ganska dålig på att förklara dessa saker
men jag hoppas du förstod.
januari 31st, 2008 at 16:48
jag köpte en domän på Loopia nyss (innan jag hörde allt dåligt om loopia), deras amatörmässiga säkerhet imponerar inte på mig, aldrig med Loopia (som för övrigt gör att jag inte kan använda mina egna lösenord för att inte specialtecken accepteras)
februari 1st, 2008 at 05:50
Tack jag har väntat på det här ett tag.
februari 5th, 2008 at 14:14
1 år gammalt problem som man inte fick nåt gehör för då.
Jag hörde av mig till Aleborg om att de skickade ut mitt lösenord i klartext till min hotmail-adress.
Här är svaret:
Personen verkade inte förstå att jag inte gillar att det skrivs i klartext, lika smart och säkert som när Bredbandsbolaget skickade ut broschyrer till alla sina kunder med lösenordet utskrivet.
februari 9th, 2008 at 06:27
Vad spelar det för roll om få-nytt-lösenord-sidan skickas inbakat i SSL om e-brevet ändå är okrypterat?
Kan man sniffa någons webtrafik så är chansen nog stor att man kan läsa personens e-brev, speciellt med tanke på att i princip alla e-post trafik är okrypterad
februari 13th, 2008 at 16:57
En fråga, var lösenorden inte hashade förut???
februari 13th, 2008 at 18:18
Henrik, det ärende du hade för 1 år sedan gällde inte lösenordet till vårt kundcenter (som Anders bloggade om). Du frågade istället varför lösenord till vårt supportsystem (som är separerat från vårt kundcenter) skickas ut i klartext. Detta är något som tillverkaren av vårt supportsystem har ordnat och det är en stor skillnad mellan dessa olika system. Precis som vi svarade dig då så är den enda person som kan läsa lösenordet den som ursprungligen skickade oss en fråga (till supportsystemet).
februari 13th, 2008 at 18:23
Erik, kryptering är något vi får kika på här framöver. Idag är det inte många e-postleverantörer som erbjuder krypterad e-post. Även om vi hade det så betyder det inte att det skulle vara krypterat (pga mottagarens e-postserver). Det är lite moment 22 över detta.
september 8th, 2008 at 11:32
[...] till den virtuella Linux-servern var FTP- och SSH-lösenorden. Vår säkerhetspolicy, med kryptering av samtliga lösenord, är helt enkelt för [...]
september 24th, 2008 at 14:14
[...] är a och o för oss. Även om det inte alltid märks (eller bloggas om) så arbetar vi konstant med att utveckla och förbättra säkerheten på våra servrar och [...]
december 2nd, 2008 at 09:23
Sorry om man är en total idiot, men för att få bättre säkerhet, borde man inte kunna skapa ett nytt lösenord för befintliga konton? Jag har snokat runt en halvtimme nu men inte hittat något sådant.
Sedan undrar man hur sjutton jag kommer åt ett konto via SFTP? Använder programmet WinSCP men kan inte komma in. Får ”bad service request ssh-connection”.
Vore det inte fint med några rader om SFTP i wikin?