Adobe had database met gegevens 7,5 miljoen klanten onbeveiligd online staan

Adobe had een database met gegevens van bijna 7,5 miljoen klanten van Creative Cloud naar schatting een week lang onbeveiligd online staan. E-mailadressen, abonnementsinfo en land van herkomst zaten bij de gegevens, wachtwoorden en betaalinformatie niet.

Het lek werd ontdekt op 19 oktober, door Comparitech en security-onderzoeker Bob Diachenko. "Iedereen met een browser kon erbij", aldus de onderzoekers. Naast de bovengenoemde gegevens gaat het om randzaken als de datum waarop het account is aangemaakt, of men met betalingen bij is, wanneer ze voor het laatst ingelogd hebben en dergelijke.

Nog dezelfde dag zette Adobe er een slot op. De schatting dat de database een week lang toegankelijk was, komt van de onderzoekers. Het is onbekend of een andere partij de database heeft ingezien. Adobe stelt in een reactie alleen dat het "zijn ontwikkelprocessen evalueert om herhaling te voorkomen".

De onderzoekers erkennen dat deze informatie niet genoeg is om direct schade aan te richten bij de klanten, maar dat het wel gereedschappen zijn waarmee een degelijke phishing- of spearphishing-aanval opgezet kan worden. Die kan wel weer als buit een wachtwoord of betaalgegevens hebben.

Adobe Creative Cloud is een softwarepakket met programma's als Photoshop, Premiere, Audition, After Effects en Acrobat. Tegenwoordig biedt Adobe die alleen aan in de vorm van een abonnement. Kosten variëren van 12 euro per maand tot bijna 100 euro per maand.

Reacties (107)

[ronaldmathies]

Is al de tweede keer dat er een grote lek is bij adobe. Vorige keer waren het 150 miljoen accounts.

https://www.google.nl/amp...e-password-leak-can-check

[mmjjb]

Is al de tweede keer dat er een grote lek is bij adobe. Vorige keer waren het 150 miljoen accounts.

https://www.google.nl/amp...e-password-leak-can-check

AMP vrije URL:
https://www.theguardian.c...e-password-leak-can-check

[hiostu]

Dank je, dat AMP van Google mag ook zsm de nek om worden gedraaid.

[bitpixl]

Voor firefox is er Redirect AMP to HTML

[Luuk.vanRiel]

Dus ze stappen van een redelijk anoniem one time purchase model af onder het mom van extra functionaliteit te kunnen beiden via een abonnementsvorm (zonder dit optional te maken)
Vervolgens is het vooral extra gedoe, extra kosten en dus ook nog extra onveiligheid. Thanks Adobe.

[arjandijk162]

Ik ben er blij mee. Ben niet bereid om 1malig duizenden euro's uit te geven voor een suite, maar 50 euro in de maand kan ik missen.

Maar je hebt gelijk, dus is minder geschikt voor een standalone niet verbonden computer. Maar goed, wie heeft dat nu. En daarnaast vermoed ik dat elke geinstallereerde licentie seintjes geeft aan de server, dus annonimiteit is sowieso beperkt bij software gebruik

[hiostu]

Ik ben er absoluut niet blij mee. Ik heb voorheen Lightroom voor 100 euro gekocht en deed daar 7 of 8 jaar mee. Wat uitkomt op 12 euro 50 per jaar. Nu kun je lightroom niet meer loskopen. En ben je verplicht om 12 euro per maand te betalen. Dat is dus 12x zo duur dan voorheen.

Als ik een nieuwe camera koop en deze niet meer ondersteund wordt door Lightroom, zal ik toch overgaan naar een ander product. Ik vind het echt geen normale prijzen meer voor de hobbyist.

[kikker81]

Als het je hobby is dan kun je toch prima uit de voeten met een gratis product als darktable?

[hiostu]

Darktable was er nog niet toen ik begon met Lightroom te gebruiken. Voor nu werkt Lightroom nog meer dan prima. Maar als ik over moet, dan ga ik wel kijken maar Darktable inderdaad.

[TweakingRens]

Waarom moet de suite duizenden euro's kosten? Zie bv. Affinity, kost 50 euro voor lifetime toegang per programma.

[Merijn70]

Adobe CC is goed gereedschap en bijvoorbeeld in de Grafische Sector werkt nagenoeg iedereen ermee en dat al jaren. Ik werk met o.a. Photoshop en Illustrator vanaf 1991. Met Acrobat en InDesign vanaf versie 1. Als ik zou overstappen naar andere software hoe open ik dan bijv. de .AI en .PSD bestanden in mijn archief. En hoe lever ik mijn klanten de open Adobe bestanden die zij willen? Los daarvan zijn de Adobe producten zeer krachtig. Denk aan de grote hoeveelheid kleursystemen, color management, import en export mogelijkheden, plug-ins en bijvoorbeeld automatisering. De monopoly van Adobe is helaas al jaren veel te groot.

[magician2000]

Adobe CC is goed gereedschap en bijvoorbeeld in de Grafische Sector werkt nagenoeg iedereen ermee en dat al jaren. Ik werk met o.a. Photoshop en Illustrator vanaf 1991. Met Acrobat en InDesign vanaf versie 1. Als ik zou overstappen naar andere software hoe open ik dan bijv. de .AI en .PSD bestanden in mijn archief. En hoe lever ik mijn klanten de open Adobe bestanden die zij willen? Los daarvan zijn de Adobe producten zeer krachtig. Denk aan de grote hoeveelheid kleursystemen, color management, import en export mogelijkheden, plug-ins en bijvoorbeeld automatisering. De monopoly van Adobe is helaas al jaren veel te groot.

Zelf heb ik vanaf ergens rond 1994 met Adobe producten gewerkt. Het is ook absoluut geen aanval op jou Merijn70, maar een reactie met daarbij mijn mening

Het monopoly wordt in stand gehouden door mensen die zo redeneren en niet de stap willen (durven) nemen om het anders te gaan doen (of niet beter weten en/of niet meer kunnen / willen overstappen).

Ja, de hele industrie zit wat dat betreft volledig vastgeroest en zou eens wat meer lef moeten tonen. Het is niet meer zo dat Adobe het enige goede is op deze planeet. In tegendeel, er zijn genoeg andere (al dan niet open source) opties te vinden waarmee het prima werken is.

Photoshop? Gimp!
InDesign? Scribus!
Illustrator? Inkscape / Krita!

Zijn die programma's dan volledig vergelijkbaar? Nee, dat niet, maar je kunt er wel dezelfde resultaten mee behalen.

Is het dan onbegrijpelijk dat mensen niet overstappen? Niet helemaal. Ineens overstappen betekend heel veel opgebouwde kennis "weggooien" (tussen aanhalingstekens want het is vooral opnieuw leren werken met andere software) en daar is veelal weinig tijd voor. Mogelijk ook geen begrip vanuit (delen van) de grafische sector.

Maar ernaast beginnen met genoemde software (of natuurlijk van Corel en/of Affinity bijvoorbeeld) is op zich een prima optie.

Het is echter ook een deel gemak. Dat herken ik zelf ook bij bepaalde software die ik gebruik (en die mij als het ware op het Windows platform vastpint op dit moment).

In het verleden heb ik regelmatig (en ook semi-professioneel) gebruik gemaakt van Adobe producten. O.a. Photoshop, Indesign (en voorloper), Illustrator en Lightroom. Ik heb de software nooit aan hoeven schaffen (op Lightroom na) en altijd kunnen gebruiken op andere plekken of, in het uiterste geval, met een demo versie me kunnen redden.

Lightroom heb ik al vrij snel ingeruild voor het (in mijn ogen en wellicht mijn werkwijze) veel betere Capture One Pro.

Photoshop heb ik nog de Elements versie van, maar daarnaast gebruik ik Gimp.

Voor Illustrator gebruik ik, indien ik iets nodig heb, meestal inkscape (Krita staat op de lijst) en eventueel CorelDraw / CorelPainter / Photo Paint versie die ik nog heb.

En dan dus Scribus i.p.v. de Adobe design software varianten. Eventueel kan ik hiervoor nog Calamus gebruiken. In de Atari ST tijd het meest krachtige (vergelijkbaar met QuarkXpress) pakket.

Monopoly van Adobe? Ja, maar vooral mede in stand gehouden door de grafische industrie zelf.

Nu is de tijd om eigenwijs te zijn en naar andere oplossingen te grijpen. Bij gebruik van open source kun je dan ook zelf bepalen wanneer en hoeveel je bijdraagt (in geld of door het helpen bij een project).

Het kan natuurlijk heel goed zijn dat niet-Adobe software je om wat voor reden dan ook niet ligt. Het kan de werking zijn die net wat anders is. Je kunt meer moeite hebben om hetzelfde resultaat te krijgen (gewenning?), enz. Neemt echter niet weg dat voor de dingen die ik doe op het gebied van o.a. drukwerk ik prima uit de voeten kan met de software die ik gebruik.

Kostentechnisch is deze software voor mij te verantwoorden. Adobe software niet (nee, ben geen full-time ontwerper).

[MtC]

Als grote voorstander van Open Source Software, moet ik je helaas tegenspreken wat de alternatieven betreft. Gimp, Scribus en inkscape kunnen bij lange niet tippen aan hun Adobe-tegenhangers. Alleen al qua kleurbeheer lopen ze hopeloos achterop.

[teacup]

Nu ben ik allesbehalve een grafisch specialist, door een printerreview (van een helemaal niet zo grafisch bedoelde printer) heb ik wel kunnen ruiken aan de complexiteit rond die kleursystemen.

Een kleursysteem en de daarop aangepaste driversoftware zorgt voor enigszins reproduceerbaarheid van een grafische workflow (scan/foto - bewerkingen - output). Adobe is met haar standaarden hierin inderdaad dominant. Of dit moet worden geïnterpreteerd dat de rest van het veld achterloopt is denk een wat eenzijdige weergave van de werkelijkheid. Door de lange bijna absolute dominantie van Adobe in de grafische sector is er geen, of pas heel laat, behoefte bij deze sector ontstaan aan een kleursysteem dat als een onafhankelijke industriestandaard kan worden gehanteerd. Op zich kan concurrentie wel worden bekritiseerd dat die niet nadrukkelijker hebben aangestuurd op een gemeenschappelijk systeem en vooral op een goede en eenduidige implementatie hiervan. Op die manier wordt de aanwezigheid van zo'n fabrikantspecifiek kleursysteem een rem op ontwikkeling in die sector, omdat ze als een dooddoener gaat fungeren bij ieder andere initiatief dat wordt ontplooid.

Nu vind ik de materie rond kleursystemen best complex. Ik besef mijzelf ook dat ik met deze reactie op zijn best langs het oppervlak ga. Toch zou ik het belang van kleursystemen willen relativeren. Ook het hanteren van hetzelfde kleursysteem voor software, camera's, monitor, printers en scanners ontslaat begrijp ik professionals nog niet van de onderlinge calibratie van die elementen om er zo goede workflow mee te bouwen. Laat nu juist die calibratie zich niet beter uitvoeren als het kleursysteem openbaar is en toegankelijk voor alle hardware en softwarebouwers om te implementeren?

Misschien moeten we daarom voorzichtig zijn, om bij afwezigheid van een alternatief, een proprietary systeem te blind te blijven volgen. Voor een goede kleurworkflow is uiteindelijk een goede calibratie de sleutel. Volgens welk kleursysteem is misschien zelfs secundair, zolang voor alle elementen in je workflow dat kleursysteem dan wel is te gebruiken.

[eonflux]

Ik ben het met je eens dat de Grafishe Industrie de monopoly mede in stand houd. Alleen is dat meer noodzaak dan keuze. Vaak zit er een archief van 10 of wel 15 jaar achter. Deze bestanden moeten nog geopend kunnen worden. Elke keer als we denken dat is veel te lang geleden en het kan weg lijkt een klant een aangepast herdruk van een heel oud document op te vragen.

Ik ben helemaal niet blij met Adobe. De Grafishe Industrie draait voornamelijk met Indesign dat is het programma wat Photoshop en Illustrator verbindt. Er zal natuurlijk iemand roepen maar je kan ook zoveel opmaken in Illustrator etc. Ja, maar voornamelijk nee; daar is het programma niet voor bedoelt en werkt daarvoor zeer omslachtig. Ik zie liever dat Afinity nu maar dan ook nu de mogelijk biedt om alle Adobe formaten gewoon foutloos te openen maar op dat front laten ze juist steken vallen. Voor Indesign had je QuarkXpress. Dat programma koste 4000 gulden. QuarkXpress bezat de monopolie maar Indesign zorgde er wel voor dat je vrijwel foutloos QuarkXpress bestanden kon openen en zo de overstap kon maken naar een veel goedkoper opmaak programma.

In je post geef je een aantal opties als opensource alternatief. Deze programma's schieten vaak op meerdere fronten te kort. Nogmaals ik ben echt niet blij met Adobe. Je leaset als het ware je eigen creativiteit. Creativiteit waar jouw copyright op berust. Betaal je niet? Dan kan je het niets meer openen. Je betaald 30 dagen vooraf maar kunnen ze niet op tijd incasseren, krijg je bij elk programma en bij elke opstart van een programma een enorme banner in beeld dat je maar beter kan gaan betalen want anders het je nog xx dagen toegang tot jouw werk. Absurd is wat het is.

Als je het hebt over videobewerking, animatie etc heb je genoeg zeer goede alternatieven die je kan gebruiken. Bijvoorbeeld de programma's van BlackMagic.

Afinity ziet er als concurrent veelbelovend uit. De prijsstelling is op het moment zeer gunstig. Hoe ziet dit er over 10 jaar uit als ze ons gebonden hebben aan het bedrijf en de aandeelhouders de opdracht geeft de winst te maximaliseren?

[Gomez12]

Het kan natuurlijk heel goed zijn dat niet-Adobe software je om wat voor reden dan ook niet ligt. Het kan de werking zijn die net wat anders is. Je kunt meer moeite hebben om hetzelfde resultaat te krijgen (gewenning?), enz. Neemt echter niet weg dat voor de dingen die ik doe op het gebied van o.a. drukwerk ik prima uit de voeten kan met de software die ik gebruik.

Het grootste probleem met niet-Adobe spullen is dat het gewoon niet zo goed werkt als Adobe spul, waardoor het je meer moeite en dus meer tijd en dus meer geld kost.
En dat is heel leuk voor een hobbyist die zijn tijd 0,0 waard vind.

Maar een beetje professional gaat toch gewoon voor Adobe omdat tijd voor hem belangrijker is dan geld.

[TweakingRens]

[...]

Het grootste probleem met niet-Adobe spullen is dat het gewoon niet zo goed werkt als Adobe spul, waardoor het je meer moeite en dus meer tijd en dus meer geld kost.

Misschien ligt het aan dat we verschillende workflows hebben, maar ik vermoed dat je ook geen tijd hebt gestoken in het onderzoeken van de alternatieven. Die zijn vaak prima en werken in veel gevallen minstens net zo goed als wat Adobe aanbiedt.

De enige tijd die je er in hoeft te steken is het opnieuw leren van shortcuts en de interface.

[Merijn70]

Als Pro zijn de kosten juist niet het probleem. Wat het per maand kost verdient een Grafisch ontwerper in ongeveer een uurtje.
Overstappen is pas goed te doen als iedereen over gaat maar dat zal niet snel gebeuren (buiten het feit dat de software die je aangeeft niet redt tegen Adobe CC). Vergelijk het met Windows versus Linux of MS Office en Libre Office.

[Fijinees]

Adobe spul is prima. De abonnementen zijn erg vervelend. Er worden dingen zomaar veranderd, zodat je weer moet zoeken hoe het moet.

Wij zijn hard aan het kijken naar andere producenten, juist omdat ze iedere keer dingen veranderen

[R4gnax]

Adobe spul is prima.

Alles behalve. Software-kwaliteit van Adobe is om te huilen.

[sohus]

Ja dat is ook mijn ervaring...

Lightroom Classic... loopt op zijn achsterste benen, constant lock-ups, soms zie je beeld gewoon verversen als je naar Full Screen gaat.... en dat op een i7, 32GB Ram, m2 fast SSD en GTX 1080.

Photoshop... bloated

Premiere Pro... crashed meer dan welke andere video editor

Nee, Adobe is nou niet bepaald kwaliteit... om over hun support in India maar helemaal niet te beginnen.

[dmeerpa]

Ik vrees dat het toch aan jouw configuratie ligt. Besoel niet te licht maar software of hardware issue.

Ik heb ze draaien op 1 laptop i7 quad core 16gb ram SSD tekentablet dual core i7 16gb SSD een mobile Workstation i7 32gb dubbele SSD, en nergens crasht of heb ik hang-ups van LR of PS.

[sohus]

Nee hoor.... al mijn andere software en games draaien als een roosje. Lightroom (cloud versie) ook, alleen Lightroom Classic draait als poep. Ik kan weken in FCPX editen zonder crash, maar bij Premiere Pro is het dagelijks raak. Zowel op Mac als op Windows 10 PC. Brakke code en slechte optimalisatie.

[Arcastin]

Niet alleen de software.. wel eens gewerkt met LiveCycle of Experience Manager? In 2019 nog maar maximaal 3gb aan memory kunnen toekennen, die bijna volledig wordt opgevreten door zichzelf en daardoor geen dingen meer kunt doen in de applicatie..

De meeste mensen kennen Adobe van Acrobat Reader en Photoshop e.d, en dat werkt over het algemeen prima. Maar ik heb geen hoge pet op van Adobe. Support is vaak matig, gaat lang overheen voor je reactie kunt krijgen, en als jij binnen 3 dagen geen reactie hebt gegeven op je ticket wordt het automatisch gesloten..

[sympa]

Acrobat Reader werk inderdaad prima als backdoor voor exploits. Was toch wel 'het lek van de week' een hele tijd. En vergeet Flash niet... de ene kritische fix na de andere.
En dan te bedenken dat Adobe ook in de 'ad network' business zit. Kunnen ze nog meer data lekken...

[R4gnax]

Photoshop [...] werkt over het algemeen prima.

Ook niet. Legio problemen met de compatibiliteit met workstation-klasse grafische kaarten en drivers, die nochtans speciaal geijkt zijn op stabiliteit mbt CAD toepassingen. De meest rare weergave bugs; driver TDRs of zelfs blue-screens; lag-spikes (voorbeeld: selectie-rechthoekje tekenen -> 5 seconden wachten tot er iets van op je scherm verschijnt); etc. En probeer Photoshop tegenwoordig maar niet meer zonder hardware-acceleration te gebruiken, want dat is helemaal een drama.

Oh ja...
PSDtje van ca. 20 MB met ~50 layers openen -> 6 GB RAM in gebruik. En nee; dat is niet cache space of zo. Zelfs als je die nl. tot het minimale beperkt houdt die applicatie nog zoveel geheugen bezet.
Is fantastisch als je daar nog een aantal Visual Studio projecten en browsers naast open moet hebben.
32 GB RAM is op dat moment zo ongeveer een minimale vereiste.

Maar ik heb geen hoge pet op van Adobe. Support is vaak matig, gaat lang overheen voor je reactie kunt krijgen, en als jij binnen 3 dagen geen reactie hebt gegeven op je ticket wordt het automatisch gesloten..

En ongeacht hoeveel mensen publiekelijk klagen over high-profile bugs, je kunt er donder op zeggen dat het jaaa----ren duurt voordat er een engineer ooit eens een blik op zal werpen, laat staan er iets aan gaat doen. Ook al veel te vaak gezien.

Nee; Adobe mag wat mij betreft lekker doodgaan.
Gewoon kapot. Opruimen. Weg ermee.

Ruim baan maken voor alternatieven.
Want dat is het probleem; iedereen gebruikt Adobe producten omdat ze een vendor lock-in hebben weten te bemachtigen op zowat de gehele grafische industrie, van MKB tot enterprise. De enige manier dat je daar een voet in de deur krijgt is als de gevestigde orde rigoreus kapot gaat.
(Of als er anti-trust wetgeving in actie gaat komen... misschien...)

[Reactie gewijzigd door R4gnax op 23 juli 2024 14:46]

[Merijn70]

Je kan gewoon oudere versies downloaden en installeren binnen CC. Het is wel ff zoeken 😉

[TweakingRens]

Adobe's enige kracht is het feit dat iedereen psd, ai, indd, etc bestanden verwacht.

[Merijn70]

En in zijn of haar archief heeft staan (niet iedereen natuurlijk 😀)

[URSUS]

Alles van Affinity kan iedere vorm van Adobe z'n bestanden openen en ook weer opslaan/exporteren.

[GateKeaper]

Blijkbaar is het het waard. Anders had men wel eenmalig 50 euro voor Affinity neergelegd.

[TweakingRens]

Nee, want de meeste mensen die ermee werken krijgen het of van hun bedrijf, of moeten wel omdat iedereen ermee werkt.

[arjandijk162]

Ik werk grafisch gezien niet met veel mensen samen, maar het kost mij serieus veel geld om over te stappen niet iets anders. Ik moet dan mijn kennis in Photoshop/Acrobat/Illiustrator gaan omzetten in andere pakketten.

Uitgaande dat dit precies hetzelfde kan, kost dit me meer geld dan doorgaan met Adobe software.

Mijn ervaring (en niet alleen met adobe software) is dat schakelen naar een goedkoper alternatief alleen loont als je de software relatief weinig en/of dat de opbrengsten van je business te minimaal zijn om 600 euro in het jaar te verantwoorden.

Het lijkt me erg lastig om met minder klanten en minder opbrengsten per licentie dezelfde software ontwikkeling te kunnen doen als adobe. Wellicht dat nieuwe functionaliteit voor jou niet belangrijk is. Voor mij is het zeer goed te verantwoorden.

[Sandor_Clegane]

Ik heb 3ds Max de deur uitgedaan voor modelleer werk en overgestapt naar Blender. Was dat gemakkelijk? nee niet echt. Kostte het tijd? yup.

Maar niet elke maand hoeven betalen voor je software, gewoon er mee kunnen doen wat je wilt en niet afhankelijk te zijn van Autodesk? Priceless.

[jaapzb]

Blender is daarentegen ook een daadwerkelijk goed product die ook in professionele sferen nog best wat gebruikt word.

Weet niet of je hetzelfde van bijvoorbeeld Gimp en InkScape kan zeggen

[dmeerpa]

Ik gebruik Lightroom en Photoshop voor mijn fotografie hobby. Affinity heb ik ook, kreeg die gratis bij fotomateriaal die ik kocht.
De reden dat ik Adobe blijf gebruiken is omwille van 3 reden:
- verschillende plugins met oa filters
- heel veel online rutorials
- en allereerste stap die ik doe is camera calibratie met behulp van de colorchecker passport. Naar mijn weten is er geen ander programma die het kan. Misschien Capture One ondertussen

[sympa]

Aan de open source kant ook hoor. Zie https://rawpedia.rawthera...create_DCP_color_profiles - al is dat meer gericht op een eenmalige calibratie. Vergelijkbaar kan vast ook voor 'per shoot' calibratie.

[Katanatje]

Alleen zit je na 2 jaar aan het oorspronkelijke aankoopbedrag.. als je redelijk zeker bent dat je deze tools langdurig gaat gebruiken lijkt me dit minder interessant.. (er is in B2B relatief veel weerstand tegen dit leasing model, er zijn situaties waar bedrijven liever one time purchases doen). Voor het verkopend bedrijf interessant als je recurring revenue hebt..

[MtC]

Op enkele uitzonderingen (telecom bvb) na hebben bedrijven liever Opex dan Capex hoor. Een software subscription is overigens géén leasing.

[Reactie gewijzigd door MtC op 23 juli 2024 14:46]

[TheVivaldi]

Hoeveel accounts waren het deze keer? Want klanten != accounts.

[Glodenox]

Zo te zien is dit een ElasticSearch-databank waar ze Kibana op hebben draaien om het te visualiseren. Meestal gebruikt om logmeldingen, monitoringgegevens en dergelijke te centraliseren. Gezien de beperkte hoeveelheid data in de screenshot heb ik de indruk dat het pure monitoring van betalingen zal zijn.

Ik zie ook een vrij hoog percentage aan verwijderde documenten. Geen idee wat daar de reden voor is.

[CAPSLOCK2000]

Het is een lastige situatie. Ik denk we Adobe een stevige boete moeten geven anders verandert er helemaal nooit iets, maar ik verwacht niet dat er op korte termijn iets zal veranderen, het is namelijk een ontzettend moeilijk probleem.

Dit komt vooral doordat de meeste van onze systemen niet worden ontworpen met veiligheid als hoofddoel. Vaak is de beveiliging iets dat er achteraf nog even overheen wordt geplakt. Dan heb je een onbeveiligd systeem met een wachtwoordje er voor. Als iemand vergeet om het wachtwoord in te stellen of het op een of andere manier er af valt dan is alle data in een keer beschikbaar. Alle beveiliging zit op de voordeur, en eenmaal binnen is alles toegankelijk.
Een adagium uit de beveiligingswereld is dat veiligheid bestaat uit verschillende lagen zodat je nog
steeds beschermd bent als de buitenste lagen doorboord worden (dat geldt net zo goed voor een computer als voor een kogelvrijvest of een tank). Helaas implementeren we dat meestal door meer beveiliging op de voordeur te zetten, niet door binnenshuis de deuren ook af te sluiten.
We kunnen beter naar duikboten kijken die niet alleen een dubbele buitenwand hebben maar binnen in ook waterdichte compartimenten hebben (deze analogie uitbreiden naar de Titanic mag je zelf doen).
Dat model van beveiliging als laatste stap van het proces en alleen aan de buitenrand is zo normaal dat we nog steeds zo doen als we nieuwe software bouwen.

Het goede nieuws in deze zaak is dat die database niet alle informatie bevat over die klanten, ergens is de data dus al gesplitst in verschillende delen.

Daar komt bij dat je al voor 12 euro in de maand al een abonnement bij Adobe kan nemen. Hoeveel beveiliging en aandacht kun je nu echt verwachten voor 12 euro in de maand? Helaas is er ook geen echt alternatief. Je kan er niet voor kiezen om 30 euro in de maand te betalen voor diezelfde software zodat je data wel goed wordt beveiligd.

Een belangrijke stap die we relatief makkelijk kunnen nemen is data minimalisatie. Sla alleen het hoogst nodig op. Wat je niet hebt kun je ook niet lekken, en je kan al je aandacht en middelen richten op de overgebleven data.
Dat werkt alleen niet voor de dataharken die juist zo veel mogelijk data proberen te verzamelen. (Ik weet niet of Adobe daar bij hoort, dit is geen beschuldiging). Voor dat soort bedrijven zou het misschien beter werken als we belasting gaan heffen over data. Dat klinkt misschien gek maar onze data heeft duidelijk een waarde, anders verzamelde die bedrijven het niet. Als ze een bedrag als 100 euro per maand per e-mail-adres zouden moeten betalen zou iedereen onmiddellijk stoppen met data verzamelen. 100 euro is natuurlijk een beetje extreem, maar je snapt het punt wel.

Uiteraard zullen bedrijven die kosten doorberekenen aan hun klanten, maar dat schept ruimte om te concurreren voor bedrijven die databeveiliging belangrijker vinden dan dataharken. Want nu is het zo dat beveiliging duur is, terwijl je geld kan verdienen met onveilig harken.

[Pyrone89]

Office 365 Home is €7 per maand. Volgens jouw redenatie mogen we daar dus helemaal geen beveiliging van verwachten? En Gmail moet helemaal openbaar zijn? Immers gratis.

[CAPSLOCK2000]

Office 365 Home is €7 per maand. Volgens jouw redenatie mogen we daar dus helemaal geen beveiliging van verwachten? En Gmail moet helemaal openbaar zijn? Immers gratis.

Je draait het om. Ik zeg niet dat goedkope producten niet beveiligd mogen worden, ik zeg dat goedkope producten domweg geen geld hebben voor goede beveiliging.

Bij een fiets van 150 euro heb ik ook andere verwachtingen dan bij een fiets van 1500 euro.
Die fiets van 150 euro moet nog steeds aan alle wettelijke verplichtingen voldoen en stevig genoeg zijn om een paar jaar op te rijden, maar niemand verwacht dat een fiets van 150 euro net zo goed is al een fiets van 1500 euro.

[Clemens123]

Sorry maar Adobe is geen klein befrijfje he...Die abo prijs daarvoor mag je zeker een basisbeveiliging verwachten.

[CAPSLOCK2000]

Dat zou zeker zo moeten zijn. De vraag die ik heb is hoeveel beveiliging je nu echt kan bieden voor 12 euro in de maand? Of eigenlijk veel minder, want de rest van die software moet ook betaald worden.
Of, op een andere manier gezegd, wat is basisbeveiliging en hoeveel kost dat?
Kun je dat leveren voor X euro in de maand, of zal de prijs omhoog moeten om het goed te doen?
Wat voor gevolgen voor de markt zou het hebben als we moeten concluderen dat basisbeveiliging niet goedkoper kan dan 150 euro per maand per persoon?

[indigo79]

Die beveiliging dient eenmaal ontwikkeld en geïmplementeerd te worden voor alle gebruikers.

Dit lek lijkt aan te geven dat het over tenminste 7,5 miljoen abonnees gaat. Elk van deze abonnees betaalt minimaal €12 per maand, dus dat betekent dat Adobe tenminste €100 miljoen per maand of een slordige €1,1 miljard per jaar binnenkrijgt via zijn creative cloud.
https://www.statista.com/...tive-cloud-subscriptions/ schat dat Adobe in 2017 12 miljoen abonnees had (dat is al 50% meer) en een heleboel professionele gebruikers betalen een stuk meer dan €12/maand, dus in de praktijk ligt het bedrag een stuk hoger.

Dus ja, zelfs voor die €12 per maand verwacht ik dat de veiligheid redelijk in orde is.

Wat is de volgende stap? Dat we niet meer verwachten dat een bakker voor €2 per brood zijn voedselveiligheid op orde heeft?

[CAPSLOCK2000]

Die beveiliging dient eenmaal ontwikkeld en geïmplementeerd te worden voor alle gebruikers.

Hoe meer gebruikers, hoe strenger de eisen aan de beveiliging zijn, hoe meer infrastructuur er in de lucht gehouden moet worden, hoe aantrekkelijker het doel is voor aanvallers, hoe meer variatie er is in klanten, producten en diensten.

Dit lek lijkt aan te geven dat het over tenminste 7,5 miljoen abonnees gaat. Elk van deze abonnees betaalt minimaal €12 per maand, dus dat betekent dat Adobe tenminste €100 miljoen per maand of een slordige €1,1 miljard per jaar binnenkrijgt via zijn creative cloud.

Daar moet natuurlijk wel wat meer betaald van worden dan alleen de beveiliging. En de abonnee's die meer betalen doen dit natuurlijk niet om de beveiliging van andere klanten te sponsoren, die willen dat hun geld wordt ingezet voor hun eigen belang.

Wat is de volgende stap? Dat we niet meer verwachten dat een bakker voor €2 per brood zijn voedselveiligheid op orde heeft?

Dat kun je niet zeggen zonder naar de kosten te kijken.
Als je weet dat een brood voor €1,98 aan grondstoffen bevat dan weet je ook dat er maar 2 cent over is voor het werk van de bakker en dat er dus niet veel marge is voor kwaliteit en veiligheid.

Wereldwijd geven we veel te weinig uit aan softwarebeveiliging, typisch is dat de sluitpost van een softwareproject.

[Loggedinasroot]

Is het niet zo dat Adobe producten variëren in prijs per land? Volgens mij betaal je in Australië een heel stuk meer voor hetzelfde product.

Overigens is dit gewoon slordig en helemaal voor een bedrijf als Adobe wat meer dan genoeg geld heeft voor beveiliging.

[Pyrone89]

Euhm, per gebruiker x talloze miljoenen gebruikers. Je doet net alsof ze voor elke gebruiker de beveiliging op maat moeten maken

[TerraGuy]

Wat maakt dat je zo focust op die 'slechts 12 euro per maand' ? Ze hebben zo'n 12 miljoen betalende gebruikers, dat is 144 miljoen euro inkomen per maand, als minimum, waarschijnlijk veel meer. Je hoeft niet voor elke gebruiker iets aparts te maken of elke maand iets nieuws toch? Als ze 10x zoveel zouden vragen onder het mom van beveiliging - en dus 90+% van de inkomsten aan beveiliging moeten besteden - gaat er iets niet helemaal efficiënt..

[CAPSLOCK2000]

Hoe meer gebruikers, hoe meer variatie en complexiteit, hoe meer infrastructuur en producten er beveiligd moeten worden, hoe meer datastromen er lopen, hoe meer jurisdicties er bij betrokken zijn, hoe meer derde partijen worden ingeschakeld.

Van het geld dat er binnenkomt moet veel meer worden betaald dan alleen de beveiliging. Waarschijnlijk wordt maar maar een heel klein deel gebruikt voor beveiliging.

Als ze 10x zoveel zouden vragen onder het mom van beveiliging - en dus 90+% van de inkomsten aan beveiliging moeten besteden - gaat er iets niet helemaal efficiënt..

Er is geen natuurwet dat dingen efficiënt zijn. Sommige dingen verslinden nu eenmaal enorm veel geld en (software)beveiliging hoort daar ook bij. De meeste software zou onbetaalbaar worden als we de beveiliging echt serieus namen, kijk maar eens naar wat software kost in de luchtvaartsector en zelfs daar gaat er nog een hoop mis.

Daarom is beveiliging een enorm compromis gebaseerd op kosten en toch verwacht iedereen perfectie en is steeds weer verbaasd en verontwaardigd als er weer eens data gelekt wordt. Als zelfs een rijk softwarebedrijf als Adobe regelmatig in de fout gaat dan is toch wel duidelijk dat er iets fundamenteel mis is met de beveiliging van IT-systemen.

[Fijinees]

Ze kunnen ook van de abonnementen af. Gewoon installeren en klaar.

[MtC]

Recurring revenue is economisch veel interessanter dan one-time revenue. Alles evolueert naar subscription-modellen.

[Fijinees]

Daar hoef je niet aan mee te werken. Ik snap dat grote bedrijven het makkelijk vinden, voor kleine bedrijven is het vaak heel duur op langere termijn.

[Andy Wachelder]

Het is niet "12 € p/m", dat is een stelling die het ontbreekt aan enige realiteit... De realiteit is dat Adobe miljoenen gebruikers heeft en een promillage van de door hun opgebrachte inkomsten ruim voldoende zou moeten zijn om een klein team van te betalen (Want om iets te ontwikkelen dat fatsoenlijk beveiligd en dit dan te onderhouden zijn echt niet veel mensen nodig, je kunt het zelfs kopen als het moet!) Het zal wel weer zo zijn dat het te duur wordt gevonden omdat enkelen toch liever een paar ton méér in hun portemonnee willen hebben. En als het dan fout gaat...? Ach, bijna geen haan die er naar kraait...

[sympa]

Beveiliging hoeft maar 1 keer voor alle gebruikers en producten. Geen rauwe accountdata inladen om er dan statistieken op te doen - strippen die handel.
Een database met klantgegevens hoort afgeschermd te zijn voor dit soort ge-hobby. Al was het maar omdat die data gestolen kan worden door een medewerker, die de concurrent wil helpen...

[CAPSLOCK2000]

Beveiliging hoeft maar 1 keer voor alle gebruikers en producten. Geen rauwe accountdata inladen om er dan statistieken op te doen - strippen die handel.
Een database met klantgegevens hoort afgeschermd te zijn voor dit soort ge-hobby. Al was het maar omdat die data gestolen kan worden door een medewerker, die de concurrent wil helpen...

Hoe meer klanten, hoe groter de infrastructuur die beheerd moet worden, en hoe sappiger het doel voor aanvallers is, en hoe meer maatwerk je nodig hebt in plaats van kant-en-klare systemen. Dat drijft de kosten ook weer op.

[sympa]

Tja, maar of je nou 10 of 10 miljoen klanten als plaintext inlaadt in je by default vanaf internet bereikbare server maakt niet uit in kosten van zorgvuldigheid toch?

[Annihlator]

Mogelijk zelfs tegenovergesteld; bij 10 miljoen abbonementsafnemers mag zo'n overduidelijke fout eigenlijk niet meer gebeuren, dat verwacht je eerder bij een amateursservice van "maar" 10 gebruikers en eigenlijk, gezien publiek-bereikbare server, nieteens.

[powerboat]

Misschien moeten ze gewoon ook weer licenties gaan verkopen i.p.v. clouddiensten waar ik persoonlijk niet op zit te wachten.

[Verwijderd]

een fiets van 150 euro is exact even veilig als een fiets van 1500 euro...

[supersnathan94]

Sorry maar wat? Ze hebben letterlijk een ElasticSearch cluster aan het internet hangen met directory listing en zonder zelfs maar basic auth.

Dat betekent dus een losse Apache of nginx instance waarbij het echt drie tellen werk is om überhaupt iets als beveiliging in te stellen.

Nee dit is echt nalatigheid. Hier bouw je standaard checks voor in die extern checken of je authorisatie werkt.

Kijk. Een foutje maken mag. Kan gebeuren. Alleen is het wel best practise om bepaalde fouten nooit deployable te hebben. Daar heb je in je voortbrengingstraject al checks op die vroegtijdig je build afbreken als het niet klopt.

[Berlinetta]

Dat betekent dus een losse Apache of nginx instance waarbij het echt drie tellen werk is om überhaupt iets als beveiliging in te stellen.

Hoe doe je dit en wat doe je precies? (Serieuze vraag)

[kodak]

Hoeveel beveiliging en aandacht kun je nu echt verwachten voor 12 euro in de maand?

Naar Europese maatstaven (waar Adobe met deze dienst aanwezig is) is dat vrij simpel: het maakt niet uit wat je betaald, Adobe heeft de wettelijke plicht om persoonsgegevens te beschermen.

Al wil het bedrijf verlies draaien, dat maakt niet uit voor wat er wettelijk verplicht is aan bescherming.

Nog even los van het punt dat 12 euro per maand maal een paar miljoen klanten niet bepaald weinig inkomsten is en Adobe niet bekend staat om gebrek aan winst.

[CAPSLOCK2000]

Naar Europese maatstaven (waar Adobe met deze dienst aanwezig is) is dat vrij simpel: het maakt niet uit wat je betaald, Adobe heeft de wettelijke plicht om persoonsgegevens te beschermen.

Dat is de theorie en daar ben ik het helemaal mee eens. Die plicht hebben ze. Maar als ik met mijn boerenverstand nadenk over hoeveel geld Adobe realistisch gezien uitgeeft aan beveiliging dan weet ik dat het peanuts is. Er is gewoon niet genoeg geld om het wel goed te doen. Als ik een auto stap en ik zie dat de gordels van de 1-euro-shop komen dan weet ik dat ze niet veilig zijn, wat de wet daar verder ook over zegt.

[kodak]

Niet weten hoeveel adobe aan security uitgeeft en dan maar wat roepen of je voor 12 euro per maand, x een paar miljoen klanten, realistisch iets op welk gebied dan ook mag verwachten lijkt me niet een passende redenatie.

De vergelijking met het zien van een goedkope autogordel lijkt me niet passen bij deze situatie als je niet eens weet of dit lek komt door gebrek aan geld. Je weet immers niet of geld hier de oorzaak is. Er is niet bekend wat de budgetten waren, er is niet bekend hoeveel de betrokken personen betaald kregen, wat hun verantwoordelijkheden waren, wat hun expertise in de praktijk is etc.

Geld is niet een op een een oorzaak. Het is een middel om mogelijk doelen te bereiken. Weinig geld kan een oorzaak zijn dat doelen niet gehaald worden maar omgekeerd is het ook geen garantie dat de beveiliging op orde is.

[sympa]

Een webshop die 1000 bestellingen per jaar doet moet goed beveiligd zijn. Hoezo 'kan meneer Adobe dat niet betalen'? Moeten ze elk klantrecord soms met de hand anonimiseren?

[TheekAzzaBreek]

Daar komt bij dat je al voor 12 euro in de maand al een abonnement bij Adobe kan nemen. Hoeveel beveiliging en aandacht kun je nu echt verwachten voor 12 euro in de maand?

Daar is het antwoord simpel: genoeg, anders zou je het niet mogen aanbieden. Dat een dienst goedkoop of 'gratis' is mag geen excuus zijn.

[Inspired]

Lang verhaal maar wat is nu precies je punt? Adobe heeft een omzet van 9 miljard per jaar, winst is iets van 2,5 miljard per jaar. Een afnemer van de software kan geen fatsoenlijke beveilig verwachten? Is dat je punt? Er moeten juist veel eerder boetes komen een bedrijf doet het net genoeg qua beveiliging. Het is een kostenpost. Wanneer er een fikse boete komt is er meer incentive iets meer te doen.

[Sebben]

Twee dingen:
1 Die 12 euro is voor een zeer beperkt deel van de pakketten, ik betaal ruim 50,- per maand.
2 Miljoenen betalende gebruikers. Stel, in het ongunstigste geval, dat die allemaal het minimale pakket hebben, dan kom je alsnog op 90 miljoen omzet PER MAAND.

Gebrek aan budget voor beveiliging of protocollen is dan echt geen probleem meer en daar zou je een hoge prioriteit bij mogen verwachten. Op zich heb je goede punten maar met budget conclusie schiet je wat mij betreft uit de bocht.

[Verwijderd]

wat een verhaal...
Waarom kan je geen goede beveiliging verwachten voor 12 euro per maand? Wil je zeggen dat de duurdere pakketten van adobe een betere (andere) beveiliging hebben dan de goedkope pakketten?
Voor hoeveel euro per maand kan je dat dan wel verwachten?

[BikkelZ]

Creative Cloud is echt super gebruiksonvriendelijk. Één betaling gemist op je credit card? Koop het maar een jaar opnieuw!

Monopolistische arrogantie a la Quark. Ze mogen zo gauw mogelijk kapot.

Verbaast me ook niks dat het zo lek als een mandje is. Na een decennium is CC nog steeds een shit show.

[Reactie gewijzigd door BikkelZ op 23 juli 2024 14:46]

[Henrikop]

haha, i feel your pain.

Zakelijk is het een ramp. Stel je hebt een stagiair voor een paar maanden en die wil je toegang geven... zit je meteen een jaar aan een licentie vast en die datum hangt af van wanneer je de eerste licentie hebt aangemaakt.

Licenties verwijderen of opzeggen in de interface? Nope. Neem maar contact op met support uit de Filipijnen.

Credit Card een keer maxed out zodat niet geïncasseerd kan worden? Zeker weten ben je daar minimaal 30 minuten aan kwijt... O ja en een maand later weer je oude methode instellen.

Het is inderdaad een ouderwetse monopolistische bende. Maar doordat ze scholieren en studerende het voor weinig laten gebruiken gaan we hier niet snel vanaf komen.

Hoge school betaald 139 euro per jaar, mensen op universiteit vaak maar 19 euro per jaar.

[junkchaser]

Ik snap dit echt niet hoe zo'n groot bedrijf zich meermaals kan verslikken in zo'n cruciaal verhaal... Reden te meer om daar weg te blijven en voor alternatieven te kiezen indien mogelijk...

[SMGGM]

Je veiligheid is en blijft zo sterk als de zwakste schakel. Ik werk in de banksector en daar is beveiliging en privacy natuurlijk super belangrijk.
Wil je iets vast krijgen zijn er 101 procedures, maar net die procedures maken het dan weer onmenselijk dat iedereen zijn lokale bestanden begint bij te houden. Ze hebben het 1 maal bemachtigd dus willen ze diezelfde procedure niet nog eens herhalen de maand nadien. Resultaat, mensen bewaren het lokaal (USB, lokale schijf op de laptop,...).

Bij ons gaat er geregeld een scan over de computers en netwerkdrives om zulke dingen te detecteren, maar dat is natuurlijk niet op USB sticks of andere persoonlijke dingen (al is toegang tot alle cloud opslag geblokkeerd om alvast dit te voorkomen).

[gekkie]

Ah zo te zien een open elasticsearch instance, ooit naar gekeken als kandidaat voor een monitoring oplossing. Echter leek authenticatie userrechten en de hele meuk een afterthought, dus maar gelaten voor wat het was.

[Verwijderd]

Ik heb een abonnement op enkele programma's via Adobe, maar duidelijk dat ook hier telemetry ingebouwd zit niet voor het doeleinden om prestaties te verbeteren maar gewoon om te kijken wat hun gebruikers met hun producten doen. Fijn.

Ik stap wel weer over op gekraakte software als het allemaal zo maar moet in de toekomst. We betalen al meer op maandelijkse basis dan dat het product zelf los kost. Waarom die zooi er dan bij?

[zx9r_mario]

Zat er geen firewall op?

[HKLM_]

Hoe bedoel je dat? Een firewall is niet een magisch device wat alles voor je fixt kwestie van een poortje open en je kan er bij.

[Bensimpel]

Inderdaad, kan net zo goed zijn dat een beheerder een verkeerd poortje open zet en dit niet goed heeft getest.

[ANdrode]

Tcp 9200 open zetten is wel slordig. Daarop kan je ook vanaf extern monitoren. Het lijkt mij eigenlijk zelfs standaard om dat te doen.

Bij een cloud provider kan je naast een software firewall de firewall van het cloud netwerk gebruiken als fallback. Software firewalls gaan wel eens kapot - dit is mij bijvoorbeeld bij Ubuntu kernel updates overkomen. Op zo'n moment ben je blij met de monitoring.

[HKLM_]

ach er zij ook beheerders die 3389 open hebben staan. Het verbaast mij dus helemaal niks.

[DigitalExorcist]

RDP vanaf het internet is het ergste niet. *Mits* je dit gewoon netjes via een remote desktop gateway laat lopen over 443. En intrusion prevention hebt.

Alleen jammer dat MS standaard geen fail2ban-functie heeft. 3x verkeerd inloggen? Niet alleen het userid op slot, maar het IP adres gewoon een dag lang blokkeren.

[HKLM_]

Met wat security inderdaad kan het. Maar ik doen op de beheerders die gewoon bam 3389 openzetten want dat is lekker makkelijk.

[ANdrode]

Elasticsearch heeft in de standaard configuratie *geen* security. Dat maakt het wat kritischer.

Maar inderdaad, het oppervlak dat je open wilt hebben moet je minimaliseren door aantal hosts en aantal logins die toegang hebben te verkleinen.

[SB[NL]]

Eens kijken of ik deze keer weer spam krijg in mijn inbox

De vorige keer vermoedde ik daardoor al voor publicatie dat er iets mis was met de beveiliging van de Adobe website, omdat ik voor bedrijven altijd een alias gebruik en ineens Spam via de Adobe alias binnen kreeg.
Direct een nieuwe alias aangemaakt de Adobe login aangepast en de oude alias verwijderd.

Deze keer nog niks binnen gehad.

[R4gnax]

Eens kijken of ik deze keer weer spam krijg in mijn inbox

De vorige keer vermoedde ik daardoor al voor publicatie dat er iets mis was met de beveiliging van de Adobe website, omdat ik voor bedrijven altijd een alias gebruik en ineens Spam via de Adobe alias binnen kreeg.
Direct een nieuwe alias aangemaakt de Adobe login aangepast en de oude alias verwijderd.

Deze keer nog niks binnen gehad.

Ik heb op m'n zakelijke account nog steeds last van dat eerste lek. Helaas was destijds voor werknemers een account aangemaakt en software aangeschaft onder het normale e-mail adres ipv een alias te gebruiken. Lekker dan.

[Maverick2001]

Het is toch wel ernstig dat dit soort grote bedrijven hun security soms zo slecht voor elkaar hebben. Dit soort bedrijven trekken natuurlijk ook de aandacht van hackers. Het is een interessante prooi. Moest wel gelijk denken aan Flash van Adobe dat voor mijn gevoel ook altijd zo lek was als een mandje.
Ik gebruik het zakelijk maar baal van het abonnement-model. Koop liever mijn software en kies graag zelf wanneer ik het upgrade. Nu krijg ik elk jaar talloze functies en programma's automatisch erbij die ik niet gebruik. Gelukkig is Affinity heel hard op weg om een volwaardige vervanger te zijn / worden.