Geheime vraag: Gemak of beveiligingsrisico?
Nu algemeen bekend is geworden dat het e-mailaccount van Republikeinse kandidaat-vice-president Sarah Palin via de "wachtwoord vergeten" functie is gekraakt, is de discussie losgebarsten hoe je en of je deze functie wel wilt gebruiken. De functie fungeert als een geheugensteuntje voor mensen die hun wachtwoord zijn vergeten, maar vormt zoals Palin ondervond ook een beveiligingsrisico. Het antwoord wat iemands favoriete kleur is, is tenslotte veel eenvoudiger te achterhalen dan een wachtwoord. Bruce Schneier waarschuwde al in 2005 voor de "vloek" van de geheime vraag. Hij adviseert internetgebruikers om wild op het toetsenbord te slaan, zodat niemand het antwoord weet. Een andere gehoorde oplossing is om bij 'eerste school' bijvoorbeeld je telefoonnummer in te vullen (wat je dan natuurlijk niet op een weblog moet neerzetten.
Een willekeurig antwoord of het ontbreken van de functie helpen je niet als je je wachtwoord bent vergeten, wat de oorzaak van het probleem is. Zowel het gebruik van een wachtwoord als het feit dat je die moet onthouden. "Wachtwoorden hebben het eind van hun bruikbare leven bereikt. Ze werken alleen voor low-securtiy applicaties. De geheime vraag is slechts één manifestatie daarvan," zo klonk het drie jaar geleden, maar er is nog steeds niets veranderd. Misschien zorgt Palin's hack ervoor dat webmailproviders en andere online diensten de balans tussen gemak en veiligheid iets meer naar de laatste laten doorslaan.
Het uitzetten van secundaire e-mails en geheime vragen is overigens een "pain in the ass". Denk ik op GMail alles uit te hebben gezet, stuurt hij klaarblijkelijk een e-mail naar het adres dat ik had gebruikt bij het registreren. Geen idee waar ik dat moet wijzigen. De gebruikte CAPTCHA's zijn ook een verschrikking.
Ook Yahoo is echt belabberd, je moet niet alleen ingelogd zijn maar je moet al je gegevens overnieuw invullen om de geheime vraag zelfs maar te kunnen wijzigen (inclusief postcode en wat niet). Doe ik dat verolgens zegt het dat een verplicht veld ontbreekt maar het geeft niet aan welke en waarom! Er ontbreken geen velden, dus misschien is me geboortedatum niet in het juiste formaat. Geen idee, maar onwijs frustrerend (het is me dan tot nu toe ook nog niet gelukt om de vraag te wijzigen). URL voor Yahoo is http://help.yahoo.com/l/us/yahoo/acct/info/sqachange.html
Bij het invullen van b.v. eerste school kun je ook een lange passfrase bedenken in de vorm van een wachtwoord met ook speciale tekens Zo wordt het raden al een stuk moeilijker.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security consultant
Weet jij alles van security, governance, risk en compliancy en weet je dit te vertalen naar gerichte oplossingen voor onze klanten? Begrijp jij als geen ander zowel de inhoudelijke kant, als de ‘organizational change’ kant van cybersecurity? Dan ben jij wellicht onze nieuwe security consultant!
Digital Forensic Researcher Mobile Device Hacking
Netherlands Forensic Institute (NFI)
As a digital expert in the field of mobile device hacking, you will strengthen the Digital Technology team. Your challenge? Reverse engineer the workings and security of mobile consumer devices.
Privacy Officer / CISO
Denk jij bij het lezen van artikelen in de media die het belang rondom privacy en informatiebeveiliging duiden, het hoeft toch helemaal niet zover te komen als je als organisatie je zaken op orde hebt? Dan zoeken wij jou!
IT Security Officer
Wil jij werken bij een organisatie die het belang van informatiebeveiliging en privacy inziet en zich realiseert dat dit continue aandacht vergt? Als IT Security Officer bij Zaanstad heb je een coördinerende, ondersteunende en adviserende rol op het gebied van informatiebeveiliging. Een veelzijdige en uitdagende functie!
Digital Forensic Researcher
Netherlands Forensic Institute (NFI)
Immerse yourself in research projects covering the analysis, reparation, and accessing of modern integrated circuits at various levels, from packages to components. In addition, contribute to law enforcement in the Netherlands. You will only find that unique combination at the NFI, where you get to work as a digital forensic researcher and examiner.
Functionaris Gegevensbescherming (FG)
Als FG ben je de onafhankelijke toezicht-houder op naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen de gehele TU/e. Je houdt toezicht op de toepassing en naleving van de AVG door de universiteit op diverse domeinen: onderwijs, onderzoek, valorisatie en bedrijfsvoering.