Hoofdcategorieën
Device Settings

Microsoft gaat zwakke Hotmail-wachtwoorden verbieden

Door Bart de Water, vrijdag 15 juli 2011 14:58, views: 23.429

Microsoft gaat de beveiliging van Hotmail aanscherpen. Zwakke wachtwoorden worden verboden en gebruikers krijgen de mogelijkheid om over gekraakte accounts te klagen, bijvoorbeeld als er plots door bekenden spam wordt verstuurd.

Microsoft heeft op het Windows Live-blog nieuwe beveiligingsmaatregelen voor Hotmail aangekondigd. Binnenkort zullen gebruikers die hun wachtwoord wijzigen of die een nieuw Hotmail-adres registreren, een melding krijgen als er een zwak wachtwoord wordt opgegeven. Volgens Microsoft zullen niet alleen wachtwoorden als 'password' en '123456' worden geweigerd, maar ook kleine en veel voorkomende zinnen als 'ilovecats' en 'gogiants'. Microsoft sluit niet uit dat gebruikers die nu een zwak wachtwoord hebben, in de toekomst gedwongen hun wachtwoord moeten wijzigen.

Verder heeft Microsoft per direct de mogelijkheid aan Hotmail toegevoegd om te melden dat het versturende account mogelijk gekraakt is. De functionaliteit werkt niet alleen voor Hotmail-gebruikers onderling: Microsoft werkt samen met e-mailaanbieders als Yahoo en Google en geeft de abuse-meldingen door. In de paar weken dat de functionaliteit is getest, heeft Microsoft al duizenden gekraakte accounts aan hun rechtmatige eigenaren kunnen teruggeven, zo meldt het bedrijf.

Hotmail melding gekraakt account

Volgende 15:19 Silicon Knights wil games zelf uitgeven
Vorige 14:46 'Sony introduceert in augustus nieuwe e-readers'
Advertentie

Reacties

«  1  2  3  4  »

Zeer goede stap die "I think this person was hacked!", ik kan in mijn MSN-lijst zo zien wie er gechaked is, en wie niet. Meestal zijn het Nederlanders die ineens in het Engels beginnen over een afbeelding xD.

Dit geld dan echter wel voor mail, maar daar geld voor mij hetzelfde.

Die mensen zijn niet zozeer gehackt, die hebben eerder een spyware/virus op hun pc staan.

Waardoor hun wachtwoord is doorgespeeld naar een spambot. Ik weet niet wat jouw definitie van hacken is, maar in mijn woordenboek past het er wel onder.

Ik vind het overigens een goede zaak, maar beter zou zijn om gewoon externe smiley programma's te verbieden, mijn moeder installeert zoveel van die crap op onze PC dat ik een andere partitie ben begonnen waar alleen ik het wachtwoord op heb.
MSN smileys = virussen, die veranderen je default search naar zo'n gesponsorde Bing search ofzo en dat is er lastig uit te krijgen.

[Reactie gewijzigd door Wolfos op vrijdag 15 juli 2011 15:14]


bing-search is van microsoft en wordt bij veel MS-software als standaard ingesteld, dat heeft nix met virussen te maken

Hij heeft het hier alleen over een gesponsorde bing search engine, ofwel, de hacker krijgt een klein bedrag wanneer iemand deze engine gebruikt.

Dus in dat geval heeft het wel te maken met malware wat je startpagina verandert.

Nee, dat is niet het geval. Bij mij zag je eerst kort een URL met "free-MP3 nogwat" en daarna ging hij pas naar Bing.
Daarnaast geloof ik niet dat Microsoft iets zo diep in Firefox verstopt dat je je profile bestanden aan moet passen om het eruit te krijgen.

Zoekmachines in FF kun je beheren in je about:config.
Verder kan het best zijn dat een virusmaker Bing gebruikt om zijn eigen crap / sporen te maskeren.

Mja, bij hotmail is dat wel heel erg. Alle berichten die ik ooit heb gekregen die onzin waren van mijn directe contactpersonen hadden een hotmail account 8)7

Ik ben blij dat microsoft eindelijk wat meer gaat doen aan veiligheid.
Wat ik nu nog wel smerig vind is dat je automatisch een hotmail account hebt terwijl je vroeger alleen een windows live passport had. Nee microsoft, omdat ik nu ook hotmail heb naast mijn geliefde gmail betekend niet dat ik hotmail ga gebruiken :+

Je kunt ook een Windows Live Passport koppelen aan een ander email adres, zo heb ik een Live Passport voor een emailadres op mijn eigen domein.

Yep, dat gebruik ik ook.

www.passport.net ;).

Mij zie je niet aankomen met die Hotmail-troep. Wat denk je dat Hotmail vraagt als je online inlogt? Koppel nu mail van *domeinnaam* in je Hotmail. Dan heb ik echt zoiets van WTF? Dat probeer ik zo dus juist te voorkomen!

Ja, dat heb ik ook gedaan, maar toch heb ik nu ook hotmail 8)7

Misschien is het handig om gelijk te vertellen hoe mensen hier van af kunnen komen. Ik heb namelijk de laaste tijd ook last datvanuit mijn email spam wordt verzonden en ontvang dus ook regelmatig emails die mislukt zijn om te verzenden en als ik in verzonden emails kijk staat daar ook een lijst met onbekende emails (maar wel naar onbekende mensen), maar het is erg vervelend... Oplossing?

Je PC doorscannen of er spyware/malware opstaat. Daar zijn genoeg gratis tools voor te vinden. Het liefst meerdere tools draaien, zodat je nagenoeg zeker bent dat er geen zooi meer op je PC staat. Als je daar klaar mee bent, pas je je wachtwoord van hotmail aan. Klaar. :)

Ben blij dat deze stappen worden ondernomen. Vooral het kunnen aangeven dat een account waarschijnlijk gehackt is, zal zoden aan de dijk zetten. Als je zelf die mensen mailt, doen ze er vaak weinig aan. Aan Microsoft zelf de mensen dwingt in ieder geval het wachtwoord aan te passen, ben je het ergste al kwijt.

Gewoon je wachtwoord veranderen. Het heeft niets te maken met Spyware die op je PC staat.

Ik dacht dat ik een sterk wachtwoord had en lachte altijd iedereen uit die in die situatie terechtkwam. Gisteren had ik toevallig zelf 40 postmaster-berichten van mensen die van mij spam zouden hebben gekregen.

Zelf al mensen aangeraden om hun wachtwoord aan te passen en dat werkt over het algemeen zonder problemen.

Die 40 postmaster-berichten krijg je omdat iemand je mail-adres misbruikt, niet omdat die op je account ingebroken is...

Ook de zinsbouw is goed gekozen. "I think this person was hacked" klinkt véél beter dan "I think this account was hacked", vanuit microsoft's standpunt dan :)

Goed nieuws dit!
Ik krijg met enige regelmaat van mensen uit mijn lijst Spam, en aangezien ze in mn safe list staan klik je er toch redelijk snel op.
(veel mailtjes en er ff snel doorheen willen.. Dan ga je fouten maken)

he he, eindelijk! ik denk dat deze twee opties het aantal spam berichten van bekenden behoorlijk zou terugdringen. Ik ken meerdere mensen die "password" als hun aacountwachtwoord gebruiken, en juist van dit soort mensen krijg ik vaak spam.

Good work Microsoft! en vooral het delen van de informatie met Google en Yahoo vind ik een goede stap.

Ik snap de bedoeling achter deze wijziging, maar waarom moeten websites zulke verplichtingen opleggen aan gebruikers.

IMO moet de gebruiker ten alle tijde zelf kunnen bepalen hoeveel risico hij/zij wil lopen. Waarschuwen zou altijd moeten kunnen natuurlijk, maar de beslissing is toch altijd nog aan mezelf. Iets afdwingen kan alleen maar negatief uitpakken. Zelf heb ik al eens een registratie ergens niet gedaan waar dergelijke verplichtingen werden gezet. Maar dat was nog extremer: minimaal 1 speciaal teken, minimaal 1 hoofdletter / kleine letter en 1 cijfer. Maar goed, zo ver is hotmail dan weer niet.

Omdat hotmail hun domein wil beschermen natuurlijk. Als er veel mensen niet veel veiligheid willen en dan gehacked worden, komt het hotmail-domein in de blacklists en hebben de "veilige" mensen er last van.

Het probleem ligt dan toch echt by Microsoft zelf. Waarom zouden ze in hemelsnaam toestaan dat iemand 100+ wachtwoorden probeert?
Als de dat nou even blokkeren, is een wachtwoord van 3 tekens ineens beresterk.

Je pincode mag je ook maar 3 keer proberen voordat je pas geblokkeerd wordt.

En tegen een virus dat meeleest wat je intypt, werkt zelfs het sterkste wachtwoord niet.

Een béétje outside the box denken mag ook wel. Stel je voor dat iemand de centrale hotmail database binnenkraakt, en alle paswoorden in MD5-hashes kan bereiken. Dan is een paswoord van 3 tekens in 1 minuut gekraakt.

Gebruik je een middelgroot botnet, dan kun je in 5 minuten een paswoord van 6 tekens kraken (bij wijze van spreken uiteraard ;) )

Maar dat was nog extremer: minimaal 1 speciaal teken, minimaal 1 hoofdletter / kleine letter en 1 cijfer.
Sorry hoor, maar zo extreem vind ik dit niet; dit is heel gewoon. En ik snap al helemaal niet waarom je omwille van die reden een registratie weigert.

Heel gewoon? Heel irritant zul je bedoelen!

Elke volgende website heeft weer een nieuw wachtwoord-schema bedacht en je kunt je 'onbelangrijk'-wachtwoord niet gebruiken en je moet weer iets nieuws verzinnen en onthouden. En aangezien je bij elke webwinkel tegenwoordig eerst een account schijnt te moeten aanmaken voordat je iets mag kopen, wordt dat best irritant.
Iedereen heeft wel een wachtwoord dat ze even snel opgeven voor een onbelangrijk iets.

En zelfs mensen die wel steeds een nieuw, veilig wachtwoord bedenken lopen tegen irritaties omdat ze zo ongeveer een puzzel op moeten gaan lossen om een wachtwoordt te vinden dat voldoet.

Doe mij een wachtwoord met minimaal 2 sets van 3 opeenvolgende klinkers, geen bestaande woorden, minimaal 8, maximaal 16 tekens met minimaal 2 leestekens, 2 klinkers, 6 medelinkers (waarvan 2 hoofdletters) en 3 cijfers.

Pfff. Volgens mij heb je sneller een concurrent gevonden waar je nog wel welkom bent.

De hoeveelheid mogelijke wachtwoorden wordt door die regeltjes ook veel kleiner, dus hoeft een hacker er ook veel minder te proberen (en vervolgens zal de site dan bepalen dat een wachtwoord langer moet worden en zo is het cirkeltje rond.)

Elke volgende website heeft weer een nieuw wachtwoord-schema bedacht en je kunt je 'onbelangrijk'-wachtwoord niet gebruiken en je moet weer iets nieuws verzinnen en onthouden.
Onthouden is niet per sé nodig. Het overgrote merendeel van mijn wachtwoorden is zeer secure, en ik ken er geen enkel van. :)
Ik gebruik ondertussen al enkele maanden keepass. Ik ken nog 3 wachtwoorden vanbuiten: dat van m'n gmail-account, dat van m'n dropbox-account en dat van m'n keepass .kdbx file. Door middel van zaken als Keepassdroid en ChromeIPass wordt integratie met android en surfen op het internet een pijnloze ervaring.

Als je ergens een nieuwe account aanmaakt, steek je die snel even in je .kdbx en je gebruikt het automatisch gegenereerde paswoord (je kan allerhande regels instellen waaraan dit moet voldoen). De meeste van mijn wachtwoorden heb ik als dusdanig zelfs nog niet eens gezien.
De hoeveelheid mogelijke wachtwoorden wordt door die regeltjes ook veel kleiner, dus hoeft een hacker er ook veel minder te proberen (en vervolgens zal de site dan bepalen dat een wachtwoord langer moet worden en zo is het cirkeltje rond.)
De hoeveelheid "echte" woorden en zinnen is slechts een minieme hoeveelheid ten opzichte van willekeurige reeksen cijfers, letters en speciale tekens. Gerichte dictionary-attacks worden moeilijker met deze aanpak, waardoor het eindresultaat zal zijn dat er veel en veel minder gekraakt kan worden.

maar waarom moeten websites zulke verplichtingen opleggen aan gebruikers.
Zodat ik voortaan geen last meer heb van mensen die er bewust voor kiezen om een zwak wachtwoord te hebben waardoor ze mogelijk gehackt worden met als gevolg dat mijn mailbox door hun vervuild wordt.

Kortom: jij denkt enkel aan het feit dat je een goed wachtwoord moet gebruiken, wat jij kennelijk erg ingewikkeld vind, ik denk aan de overlast die mensen die hun zaakjes niet op orde hebben aan anderen bezorgen.

Lijkt me nuttig zowel voor Microsoft als voor de gebruiker zelf. Ik zie hier twee dingen in:
- enerzijds wil Microsoft waarschijnlijk vermijden dat ze binnen de kortste keren dezelfde problemen gaan krijgen als Sony, zeker na de uitspraken dat ze gedaan hebben dat ze "onkraakbaar"zijn
- Anderzijds werken ze hierdoor actief mee aan het bestrijden van spam! _/-\o_

Ik kreeg pas ineens de melding "er zijn vreemde activiteiten waar genomen op uw account" moest ik ook m'n wachtwoord wijziggen. moest ik een wachtwoord met 8 karakters, waarvan minimaal 1 cijfer, 1 letter, 1 hoofdletter en 1 overig symbool.

zo heb ik afgelope week zeker 5 wachtwoorden moeten wijziggen in onmogelijk te onthouden constructies
ik word er een beetje moe van, als ik een onveilig (makkelijk) wachtwoord wil voor een niks zeggende dienst moet ik dat toch zelf weten?

ik word er een beetje moe van, als ik een onveilig (makkelijk) wachtwoord wil voor een niks zeggende dienst moet ik dat toch zelf weten?
Wanneer jij de enige bent die er last van zou hebben dan natuurlijk wel. Het probleem zit 'm hier in het feit dat er veel gebruikers zijn die last hebben van jouw onbeveiligde account; ze krijgen spam en 'aanbiedingen' van mensen die ze vertrouw(d)en: jou.

Om het imago van hotmail/live mail hoog te houden, dan wel naar een hoger niveau te tillen, willen ze voorkomen dat mensen zoals jij gemakkelijk vatbaar zijn voor virussen, hacks en dat soort zaken. Op die manier wordt de live/hotmail dienst beter te gebruiken door de mensen die wél serieus gebruik maken van de functionaliteit die het biedt, zonder dat ze dood worden gespamd door mensen die het niet interessant vindt als ze hun contacten blootstellen aan allerhande rotzooi.

Dat wordt hoog tijd (vooral de "report" dan). Wekelijks krijg ik wel mails van één of andere verre kennis over "how to get a free iPad, I did it, it works!!!!!1!!LOLZ".

En ik heb nog steeds geen geld van Bill Gates mogen ontvangen dat me beloofd is... :+

Goeie zet, mijn account wordt overspoeld van spam die ik via vriendschappelijke accounts binnen krijg.

Hoe gaat Microsoft dat doen met SPAM bots die een open relay SMTP servertje gebruiken om een SPAM mail te versturen met als FROM-header mailto:joost.maghetweten@hotmail.com naar een hele bunch mensen? Lijkt me niet dat ze daar zelf veel aan kunnen doen, maar veel mensen denken dan toch dat ze 'gehackt' zijn... Dat heb ik heel vaak gezien en ik vermoed dat Microsoft daar bar weinig tegen kan doen.

Ik denk dat ze dat wel doorhebben door het ontbreken van o.a. SPF en DKIM.

Dat zijn technieken die door de ontvanger ondersteund moeten worden, niet door de servers van Microsoft (hoewel Microsoft hier natuurlijk zelf een DNS-recordje voor aan moet maken), dus daar kan Microsoft zelf weinig tegen doen.

Niemand weet wat SPF en DKIM is.

[Reactie gewijzigd door zonoskar op vrijdag 15 juli 2011 15:22]


iemand die een mailserver beheert, hoort het wel te weten :)

dat kan wel als men bij verplicht aanmelden bij uitgaande smtp overal gaan instellen.

dan kunnen ze geen afwijkend e-mail adres als afzender gebruiken als men niet is aangemeld ,, moet wel van alles aangepakt worden ,, de meeste mail client kunnen wel aanmelden bij smtp gebruik maar niet dat er een check met afzender adres ,, maar als ze dat doen zou dat enorm schelen omdat die spammers meestal niet de account gegevens hebben en de mensen die legitiem een ander antwoord e-mail adres gebruiken kunnen dan toch deze mogelijkheden gebruiken,, het zou weer veel irritante spam schelen

Het lijkt me dat je deze "I think this person is hacked" knop ziet staan als je een bericht van betreffende persoon opent / bekijkt. Je geeft dus aan aan de hand van welke mail je vermoed dat iemand gehacked is. Microsoft kan eenvoudig zien dat je gemarkeerde spam helemaal nooit verstuurd is via hotmail / het account genoemd als afzender.
Daar heb je geen SPF/DKIM/DK vooor nodig (al helpt het wel).

Trouwens, in plaats van steeds weer regeltjes bedenken om wachtwoorden 'sterker' te maken, zouden veel diensten er goed aan doen in plaats daarvan (of ernaast) de gebruiker te educeren over sterke wachtwoorden. Bijvoorbeeld door de eerste letters van een grappige zin/spreuk te pakken, en bepaalde letters daaruit door cijfers/leestekens/hoofdletters/etc te vervangen. Wat ik zelf dan nog doe om te zorgen dat ik niet alsnog 1 wachtwoord voor 1000 sites heb, is ergens in dat wachtwoord (een afkorting van) de url/site naam te zetten. Iemand die je ww van site A heeft en handmatig op site B probeert, komt er misschien snel genoeg achter, maar een script dat 10,000 gestolen wachtwoorden van site A op site B-Z probeert laat jou met rust :-)
Of je gebruikt natuurlijk iets als KeePass (+usb stick).

edit:
@dj.verhuist : wat jij beschrijft ís dus open relay, waar DaSt1986 het nou juist over had..

[Reactie gewijzigd door paulus83 op vrijdag 15 juli 2011 17:09]


Mijn eerste gedachte is: Zou een keer tijden worden! Het is toch niet meer van deze tijd dat een bedrijf als Microsoft zwakke wachtwoorden toelaat. Ik vind dat Microsoft gebruikers tegen zichzelf in bescherming moeten nemen en ze verplichten om sterke wachtwoorden te nemen.

Wat positief is, is dat ze ook veel gebruikte passphrases gaan verbieden. Iedereen kan op internet gigabytes aan wachtwoord lijsten downloaden en aan het cracken slaan, en met deze maatregel wordt dit nog enigszins afgeremd. Al met al een goede stap van onze vriend Bill.

En waarom zou een 'zwak' wachtwoord niet mogen? Een wachtwoord dat bestaat uit 6 lowercase chars is zwak. Het is ook compleet onmogelijk te bruteforcen online. Dat is tenzij MS het accepteert dat een maand lang iemand continue willekeurige wachtwoorden probeert.

Wachtwoorden worden gestolen via phishing mails en semi-phishing (voer hier je email stuff in om je e-card te ontvangen). Daar helpt dit helemaal niks tegen, en bruteforce is gewoon compleet onmogelijk online.

Je hoeft niet één account te gaan bruteforcen; je kan net zo goed op 10000000 accounts nagaan of ze soms "password" als wachtwoord gebruiken. Daar helpt een lockout policy niet tegen; je kan een gebruiker toch niet buitensluiten omdat "hij" 1 keer een fout wachtwoord gebruikt?

Dat zou nog steeds door hun opgepikt moeten worden. Maar daar helpen deze eisen ook geen drol tegen. Iedereen die niet uit zichzelf een sterk wachtwoord heeft en een hoofdletter erbij moet doen, doet de eerste letter als hoofdletter -> geen extra security.

Cijfers erbij doen schiet ook weinig op, of ze doen een 1 erachter, of ze verwisselen letters door bijbehorende cijfers (e -> 3).

Speciale tekens verplichtstellen en ze doen een uitroepteken aan het einde erbij.
«  1  2  3  4  »

Op dit item kan niet meer gereageerd worden.

Volgende 15:19 Silicon Knights wil games zelf uitgeven
Vorige 14:46 'Sony introduceert in augustus nieuwe e-readers'
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011