Hoort die wel in het lijstje (stemmen wel verdacht veel op zie ik....).
Bijvoorbeeld hier: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html
Als ik wachtwoorden serieus zou moeten nemen voor een project, dan zou ik waarschijnlijk in een aparte kluis opslaan:
- Aparte machine, gehardened en goed ingestelde logging+Intrusion Alerts;
- Encrypted database met dagelijkse backups; (En backups testen!)
- Sterke hash algoritme met salt en pepper.
Vergeet ik nog iets?
Als ik wachtwoorden serieus zou moeten nemen voor een project, dan zou ik waarschijnlijk in een aparte kluis opslaan:
- Aparte machine, gehardened en goed ingestelde logging+Intrusion Alerts;
- Encrypted database met dagelijkse backups; (En backups testen!)
- Sterke hash algoritme met salt en pepper.
Vergeet ik nog iets?
Dan snap je niet waar het over gaat. ;) Passwords moeten geverifieerd kunnen worden en als je ze in een kluis stopt is dat niet mogelijk.
Triest resultaat voor een security site
De huidige stand is, van hoog naar laag:
2) PBKDF2: 21,53%
3) anders: 20,95%
4) Argon2: 15,9%
Ruim 6 jaar geleden schreef Aaron Toponce in [1], verder onderbouwd in [2]:
In order of preference, hash passwords with:
1) Argon2
2) scrypt
3) bcrypt
4) PBKDF2
Do not store passwords with:
[...](lange lijst waarin BASE64 e.d. ontbreken)
Realiseer je dat adviezen in de loop van de tijd veranderen omdat ook dreigingen dat doen, en er daarom betere oplossingen komen. Baseer je dus op betrouwbare en actueel gehouden bronnen, zoals https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html. Verdiep je in de juiste instellingen die sterk afhankelijk kunnen zijn van jouw doelgroep (devices met zwakke CPU en weinig geheugen versus het tegenovergestelde).
[1] https://pthree.org/2016/06/28/lets-talk-password-hashing/
[2] https://pthree.org/2016/06/29/further-investigation-into-scrypt-and-argon2-password-hashing/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.