Lol waarom zou je zoveel moeite doen?

Wat is je moeders meisjes naam?

Dan zet je je geboorte datum in ofzo...

@ anoniem 13:10

Ja wel wat ingewikkeld.

Wat jij voorstelt is om verwarring te zaaien en een 'verkeerd' antwoord geven. Ik zie dat dan als een soort Master reset password. Dat moet je dan wel voor veel accounts hetzelfde hebben anders heb je alleen maar een tweede wachtwoord. Het is juist bedoeld voor de situatie dar je gewone wachtwoord kwijt bent.

Maar een zo'n master reset wachtwoord is ook een zwakte. Als het te kort is kun je het bruteforcen. En onafhankelijk van de lengte: als dit ene master reset wachtwoord bekend is, zijn al je accounts in gevaar. Zo goed vertrouw is google en yahoo nu ook weer niet.

Daarom zoek ik zoiets als dit.

Het idee van zo'n veld is dat je dat wel onthouden hebt als je je wachtwoord vergeten bent. Ik zie niet hoe ik de methode "SHA1(((telefoonnummer x pincode) modulo postcode))" beter zou kunnen onthouden dan een wachtwoord.

Bovendien zou ik nooit geheime gegevens zoals pincodes (die bovendien kunnen wijzigen, bijv. als je geskimmed wordt en de bank je een geheel nieuwe pas stuurt), ook niet gehashed, in zoiets gebruiken. Immers, mocht die hash ooit gelekt worden naar een aanvaller die jouw methode + telefoonnumer + postcode kent, dan hoeft die aanvaller statistisch gezien maar 5000 pogingen doen om jouw pincode te bepalen (waarbij er natuurlijk niets geblokkeerd wordt na 3 foute pogingen).

Mijn tip: zet je wachtwoord in KeyPass. Als zo'n extra onthoudveld verplicht is laat Keypass dan een lange random riedel genereren en vul dat in bij je moeders meisjesnaam. Vul in keypass bij de comments in dat je die riedel als je moeders meisjesnaam hebt opgegeven. Mocht je een keer je wachtwoord wijzigen en vergeten dit in Keypass door te voeren, dan kun je nog bij je account met die backupgegevens.

Vergeet niet backups te maken van de Keypass database, en vertel -indien je dat nodig vindt- aan je partner en/of ouders etc. hoe ze bij die gegevens kunnen komen mocht je onder de tram komen.

@bitwiper
Het idee van SHA1(telnr x pincode etc...) was dat je het kunt reconstrueren.
Toegegeven het is niet het ei van columbus. Daarom ook deze 'request for comments'.

Een aanvaller zou maar 5000 pogingen nodig hebben om de pincode te bepalen én binnen te komen op mijn account. Dat is best een laag aantal. dus niet zo'n goede aanpak.

Dus ook jij bent voor een lang Master Reset Password dat voor veel accounts hetzelde is. een soort PUK dus.

Ik vraag me alleen af of ik mijn accountbeheerders genoeg vertrouw met dit Master reset password, dat kunnen zij natuurlijk ook zelf gaan gebruiken als ze gokken dat je zo zou werken. (of ben ik nu te paranoide?)

Misschien is een combinatie wel handig: je kiest een standaard vraag (moeders meisjesnaam bv) en het juiste antwoord maar voegt daar dat Master Reset Password achteraan. Kies die vraag telkens anders maar het master reset wachtwoord altijd hetzelfde..

Een username / password (en dus ook de reset hiervan) is niet meer van deze tijd.

Ik denk bijvoorbeeld aan een token / key, ook voor de password reset. Als je op basis van de PIN + code van het token een reset kunt doen ben je al een stuk veiliger dan met andere methoden.

Zelf heb ik wel eens met Yubikey gespeeld, iets wat makkelijk te implementeren is en ook niet duur is in aanschaf t.o.v. andere leveranciers. Zie: http://www.yubico.com/products/yubikey/ voor meer informatie.

Naast tokens en keys zou SMS authenticatie / SMS password reset een idee kunnen zijn. Verder vraag ik me n.a.v. eerste genoemd item af, hoe "veilig" het is om een account bij Gmail te hebben. Het draait in Amerika en dus ook hun wetten en backdoors gelden daar etc. Wellicht is een eigen mailserver / webdienst neerzetten een veiliger idee (als je verstand van zaken hebt)

D.C.

Ik heb wel eens een soortgelijke constructie bedacht, maar dan zonder persoonsgegevens.
Als vraag zou je dan instellen "Wat is the SHA1 van file x", voor X moet je dan natuurlijk een file kiezen die niet automatisch met een update kan veranderen. Het antwoord is gewoon letterlijk de sha1 van de genoemde file
Op zich werkt het leuk, als de file op een server staat zou je dat zelfs remote kunnen checken, maar ik liep tegen beperkingen aan van het antwoord veld. De belangrijkste beperking is uiteraard de lengte, uiteindelijk moest ik terug tot (uit m'n hoofd gezegt) de md5 hash om het antwoord in te kunnen vullen.

Een ander idee zou een password generator kunnen zijn waarin je het domein van de site + geheim woord samen via een hash vermaakt tot een passend password. Uiteraard loop je daar ook weer tegen de lengte beperking op, maar je hoeft geen passwords op te slaan maar zijn toch opnieuw te genereren zolang je het geheime woord kent.

Als je met "mijn accountbeheerders" de beheerders van de site bedoelt waarop je inlogt met jouw primary password (of middels je secundaire "password" (of "weetje") om je primaire password te kunnen resetten als je dat vergeten bent), maak je dan geen illusies: in bijna 100 van de 100 gevallen kunnen zij, ook zonder kennis van jouw wachtwoord of weetje, jouw account gewoon overnemen.

Wat je niet weet is of de site waarop jij inlogt jouw password (en "weetje") als hash opslaat in hun database (in plaats van plain text). Een hash is veiliger, (vooral als ze daar een salt bij gebruiken): mocht die database gestolen worden, dan hebben de nieuwe "eigenaren" nog niet zomaar jouw wachtwoord te pakken. Lukt ze dat wel (of was het plain text, wat je niet weet), en gebruik je (zoals de meeste n00bs) datzelfde wachtwoord ook op andere sites, ga dan maar overal ASAP je wachtwoord wijzigen.

Indien jouw wachtwoord server-side gehashed wordt voordat het in de database geschreven wordt, dan kan een foute accountbeheerder van de site waarop je inlogt natuurlijk ook (kortstondig) bij jouw ongehashte wachtwoord. Naast dat hij daarmee jouw account kan overnemen kan hij het ook aan derden (spammers) verkopen. Als jij datzelfde wachtwoord ook op andere sites gebruikt kan hij (of die spammers) daar in principe ook bij.

Kortom:
- gebruik nooit gevoelige informatie in wachtwoorden
- maak ze lang en zo "random" mogelijk
- zorg dat je ze makkelijk kunt herinneren, gebruik daar bijv. Keepass voor
- als er een https mogelijkheid is om in te loggen, gebruik dan altijd die (nooit uit een e-mail, altijd een bookmark aanmaken)
- hergebruik NOOIT een wachtwoord of delen daarvan op een andere site (geheimtwitter, geheimmsn en geheimebay etc)
- af en toe wisselen van wachtwoord helpt een klein beetje tegen diefstal daarvan (maar om dat effectief te laten zijn zou je eigenlijk na elke keer inloggen je wachtwoord moeten wijzigen, en handmatig doet niemand dat die ik ken)

Als je met "mijn accountbeheerders" andere bedoelt dan van de site waarop je inlogt, leg dan even uit welke.

@Bitwiper 15:19

Ik bedoel met 'accountbeheerders' hetzelfde als jij. Je tips over (primary) passwords zijn inzichtgevend.
Dus als daar een rotte appel tussen zit kunnen ze mijn account overnemen en misbruiken. Dat zie ik als aanvaardbaar risico. Ik kan me zo voorstellen dat die 'rotte appel' mijn gegevens niet misbruikt in zijn eigen omgeving omdat dat dan gelijk aan het licht komt en hij mogelijk zal worden opgepakt.

Wat ik voorzie is dat bij een internet dienst ofwel een rotte appel ontstaat, ofwel de clientgegevens gestolen./gekocht worden door een digitale inbreker/heler.

Waar ik dan bang voor ben is dat mijn Master reset password ook bekend wordt bij de criminelen. Zij kunnen dan, omdat ik het overal gebruik, een groot deel van mijn accounts overnemen. (ze weten immers dat de helft van de mensen zo werkt)

Om dit tegen te gaan zoek ik een beveiligingsvraag (secondary password) met variaties dat voldoet aan:
1) verschillend op elke site (wellicht een random waarde ergens inbouwen)
2) het valt niet te raden. (het moet lang genoeg zijn)
3) het valt niet te brute-forcen
4) een rotte-appel-beheerder / criminele koper kan niets met het gestolen secondary password bij andere sites, omdat het elke keer anders is.
5) uit het antwoord en de vraag kunnen geen persoonlijke gegevens gedestilleerd worden .
6) Het antwoord is eenvoudig/goed te reconstrueren voor de eigenaar.

Kan iemand zo'n vraag bedenken? Een soort heilige graal. als je hem eenmaal hebt ben je wel in een keer van het gedoel met e-mail af.

"Op veel sites waar je je kunt registreren moet je naast je wachtwoord ook een beveiligingsvraag instellen. Je ziet dat veel bij webmail providers als Gmail. Als je je wachtwoord kwijt bent kun je er voor kiezen om die vraag te beantwoorden. Doorgaans is dit een enorm beveiligingslek omdat de vragen vaak voorgedefinieerd zijn als de meisjesnaam van je moeder."

Het is ALTIJD een enorm beveiligingslek, aangezien deze informatie te onderscheppen is m.b.v. keyloggers en dergelijke. Maar je hebt gelijk dat de predefined questions vaak nog gevaarlijker zijn. Zo kan je sommige van de geheime vragen op Facebook beantwoorden m.b.v. informatie uit een LinkedIn profiel van dezelfde persoon.

Die beveiligingsvraag beantwoord ik altijd willekeurig zoals bijv: GJHiljhui0*&^65tyyh?<>P:IJTRRFyhujtyfTR6y#$ERTt^&Y^&&*TgGJHUHUYYylk;l kjHuyy7790-0":LKJHhhy900-**&^^%%

Die beveiligingsvraag heb ik altijd al vragen om problemen gevonden. Een papiertje onder je toetsenbord is dan nog veiliger.

.

Ik heb een vraag; ik wil mijn beveilegings code veranderen, je kunt hem zo achterhalen. hoe kan ik een nieuwe beveilegings vraag maken?

Dat hangt ervan af welke website/welk OS je je code wilt veranderen, en wat je überhaupt bedoelt met beveiligings code (met een i ja).