WAG Online und Datensicherheit

[temi]

Hallo zusammen,

nachdem gerade heute in den Nachrichten zu hören war, dass Fac...k die Passworte seiner "Kunden" im Klartext speichert folgender Hinweis:

Ich habe gestern auf den Link "Passwort vergessen" bei WAG Online geklickt. Natürlich habe ich auch die erwartete Mail erhalten. Was ich nicht erwartet hatte war, dass mein Passwort im Klartext in der Mail stand.

Das bedeutet, dass auch WAG seine Kundenpassworte speichert und nicht, wie fachlich richtig, als kryptografisch sicheren Hash. Das allein ist schon unheimlich bedenklich und in heutiger Zeit fast unglaublich. Zudem verschickt WAG diese Passworte noch über eine unsichere und unverschlüsselte Verbindung. Das ist doppelt doof.

Gruß,
temi

 

[Uwe-11]

Das ist ja übel.
Und scheinbar haben die aus dem Facebook GAU kein bisschen gelernt.

 

[temi]

Ich habe auf eine Mail an den Support eine fundierte Antwort erhalten. Das empfand ich als sehr positiv.

Das die Passworte gespeichert werden ist korrekt, allerdings immerhin verschlüsselt.

Sofern der Mailanbieter dies unterstützt, wird auch verschlüsselt versendet. Die letzte "Strecke" vom Provider ins Postfach ist dann allerdings in den meisten Fällen unverschlüsselt.

In Zukunft soll das wohl geändert werden.

 

[Tobias Honscha]

Ich habe auf eine Mail an den Support eine fundierte Antwort erhalten. Das empfand ich als sehr positiv.

Das die Passworte gespeichert werden ist korrekt, allerdings immerhin verschlüsselt.

Sofern der Mailanbieter dies unterstützt, wird auch verschlüsselt versendet. Die letzte "Strecke" vom Provider ins Postfach ist dann allerdings in den meisten Fällen unverschlüsselt.

In Zukunft soll das wohl geändert werden.

Passwörter (siehe weiter unten(Hash!)) müssen gespeichert werden. Die Antwort der Firma ist natürlich absoluter Blödsinn. Natürlich darf die speichernde Firma keinen Zugriff auf Klartextpasswörter haben. Wenn mit einem festen Algorithmus verschlüsselt wird, der direkt zu einem Klartextpasswort zurückführt, ist das bedenklich und mit einem Klartextpasswort gleichzusetzen, also rechtlich nicht in Ordnung. Stand der Technik sind SHA-Algorithmen (mit Salt), die ich selbst auch verwende.

Hierbei wird nicht das Passwort selbst gespeichert, sondern ein Hash-Wert, der nicht auf das Urspungspasswort zurückzuführen ist. Man kann also einen User authentifizieren ohne sein Passwort zu kennen. Es wird nur der Hashwert übertragen und gespeichert. Aus diesem Grunde kann ich auch bei verlorenen Passwörtern nicht helfen ...

 

[rufuszufall]

Tja, auch kleinere IT Unternehmen haben da Nachholbedarf
Facebook: Hunderte Millionen Passwörter im Klartext gespeichert