Bloedend hart

Reacties (36)

.oisyn Moderator Devschuur® 11 april 2014 13:27

De enige optie die zegt dat je het niet gaat doen is de optie waarin je aangeeft dat men alles van je mag weten? Wat extra nuance is wel op z'n plaats.

Nee, ik ga geen wachtwoorden aanpassen. Voor belangrijke dingen heb ik two-factor authentication, en voor de rest acht ik de kans erg klein danwel boeit het me niet dat ze m'n wachtwoord te pakken hebben. Ik gebruik sowieso overal verschillende wachtwoorden.

[Reactie gewijzigd door .oisyn op 22 juli 2024 19:08]

flabber @.oisyn • 14 april 2014 11:44

Voor belangrijke dingen heb ik two-factor authentication, en voor de rest acht ik de kans erg klein danwel boeit het me niet dat ze m'n wachtwoord te pakken hebben.

De beveiliging van 2-factor authenticatie ligt in het feit dat er meerdere onbekende factoren zijn.
Als je ID en wachtwoord bekend zijn, dan verwordt je 2-factor gewoon weer naar 1-factor.

Ik weet dat dit nogal een 'what-if' verhaal is, maar daar gaat het bij beveiliging eigenlijk altijd om.
2-factor is geen garantie voor veiligheid.
De mate van veiligheid die je krijgt van een methode is sterk afhankelijk van tijd en plaats.
Diverse encryptie modellen waren veilig totdat systemen krachtig genoeg werden om ze snel te kunnen kraken. Een sleutel van 1024 bits is groot, maar als de rest van de wereld er 8192 bits tegenaan gooit, is de kans dat jij het doelwit wordt wel erg groot.

Zorgen voor veiligheid begint met het niet verschuilen achter protocollen of methoden, maar je gezond verstand gebruiken.

.oisyn Moderator Devschuur® @flabber • 14 april 2014 16:27

De beveiliging van 2-factor authenticatie ligt in het feit dat er meerdere onbekende factoren zijn. Als je ID en wachtwoord bekend zijn, dan verwordt je 2-factor gewoon weer naar 1-factor.

Nogal wiedes. Het hele idee van two-factor auth is dat je nog steeds beveiligd bent als een van de gegevens op straat komen te liggen. Dat is nu gebeurd en dus pluk ik er de vruchten van. Ik zie niet direct de noodzaak om mijn wachtwoorden te veranderen, ookal ben ik nu iets minder veilig dan ik voorheen was. Veel succes met het onderscheppen van de in mijn telefoon opgeslagen OTP sleutels. Het onderscheppen van wachtwoorden is daarentegen relatief een stuk makkelijker.

Zorgen voor veiligheid begint met het niet verschuilen achter protocollen of methoden, maar je gezond verstand gebruiken.

Zoals voor elke login een ander wachtwoord gebruiken. Daarom maak ik me ook niet zo'n zorgen van een gejat wachtwoord van een een of andere vage site die ik amper gebruik.

[Reactie gewijzigd door .oisyn op 22 juli 2024 19:08]

AvAars @.oisyn • 11 april 2014 14:47

Inderdaad, ik mis ook de optie "Nee, ik maak me niet zoveel zorgen"

Sissors @.oisyn • 12 april 2014 16:33

Precies, je hebt van die leuke lijstjes: http://mashable.com/2014/...ed-bug-websites-affected/. Waar zou ik me druk over maken? Alle belangrijke dingen die ik gebruik zijn niet kwetsbaar, ik heb wel een gmail, maar dat is enkel een secundair e-mail adres waar ik eigenlijk niks mee doe.

Ik kan me er niet heel druk over maken als ze op bijvoorbeeld mijn tweakers account kunnen inloggen (of een equivalent iets).

XxRenéxX @.oisyn • 12 april 2014 18:40

Mee eens, vind het vreemd dat een dergelijke keuze niet in de poll is opgenomen. De services waar ik een mail adres heb zijn niet aangetast (geloof verder niet dat alle gmail accounts bekend zijn). Zolang de mail adressen waarmee ik mijn wachtwoorden kan resetten niet aangetast zijn, verander ik mijn wachtwoorden niet

asteriK 11 april 2014 12:32

Nee, ik wacht nog even tot alle sites de bug hebben gefikst

Duurde ff voordat ik doorhad hoe het werkte aanvankelijk, dank aan XKDC

HMC @asteriK • 11 april 2014 16:24

Waarom zou je wachten met dat ene wachtwoord aanpassen (bv Gmail), totdat ALLE sites ge-update zijn?

Degenen die reeds een update hebben doorgevoerd, daarvan kan je NU al je wachtwoord aanpassen.

De anderen later.

asteriK @HMC • 13 april 2014 14:34

Eerlijkheidshalve moet ik toegeven m'n gmail ww al te hebben aangepast maar daarbuiten vond ik het iets te veel moeite om voor elke site in de gaten te houden of ze de fix al door hebben gevoerd of niet. Ik denk dat ik, net als de meeste mensen hier, al snel en paar tientallen usernames & passwords hebben voor verschillende sites/fora waar ik het nog even wilde laten om m'n info te veranderen.

Tukkertje-RaH @asteriK • 14 april 2014 14:50

't Is natuurlijk wel een klus om al je wachtwoorden aan te gaan passen... Als je zorgt dat je per site een uniek wachtwoord gebruikt, dan is de schade min of meer te overzien. Het wachtwoord wijzigen zou ook alleen hoeven voor de sites die kwetsbaar waren voor de aanval (tweakers zat daar toch ook bij als ik het goed heb?). Maar een fraai lijstje met kwetsbare sites heb ik nog niet gevonden.

Overigens - hoe aannemelijk is het dat 'men' inderdaad wachtwoorden heeft buitgemaakt? Is deze bug daadwerkelijk gebruikt door "boeven" om wachtwoorden uit systemen te halen?

Edit: ah - hieronder wordt ook al de discussie aangezwengeld dat 't niet zo'n vaart zal lopen...

[Reactie gewijzigd door Tukkertje-RaH op 22 juli 2024 19:08]

Thrace Grumble 11 april 2014 13:51

Voor de technici, die de fout in de OpenSSL code willen zien:

http://blog.cryptographye...k-openssl-heartbleed.html
http://blog.existentializ...enssl-heartbleed-bug.html

Vimeo:
http://vimeo.com/91425662

peter123 12 april 2014 11:02

Wordt (of werd) de bug actief misbruikt anders dan de NSA? Anders maakt ik mij geen zorgen.

teacup @peter123 • 12 april 2014 13:41

Natuurlijk wordt de Bug misbruikt. Het kan, dus het gebeurt. De wet van de grote getallen van de meer dan 7 miljard individuen maakt dit een zekerheid.

Paniek is aan mijn kant niet het juiste woord. Overal unieke passwords. Wel een verzuchting dat ik het hele spul weer langs kan. Gebrek aan transparantie op internetsites of de site al is gerepareerd stoort mij wel. Is Tweakers al gerepareerd? Waar leid ik dat dan uit af, ik zal wel weer kippig zijn? Als ik mijn profiel aanpas krijg ik een https verbinding als altijd. Geen tijdelijke infobalk dat Tweakers dat de bug al is opgelost. Ook het feit dat het nog niet is gedaan is als informatie relevant. Maak het expliciet.

Misschien moeten sites een vast veiligheidshoekje reserveren voor dit soort info. Zodat mensen niet allerlei tooltjes moeten regelen om een site te testen. Lang leve eenduidige communicatie.

Jeoh @peter123 • 12 april 2014 15:03

Wordt? Jazeker. Werd? Weten we niet zeker. Dus ja.

lesander 11 april 2014 23:05

Jammer dat het meerendeel van de Tweakers (nog) niet meegekregen heeft wat de Heartbleed bug is..

12345dan @lesander • 12 april 2014 10:43

Dit zijn handige webpagina's van Radar erover:

Ikzelf wacht nog eventjes totdat alle website's het hebben opgelost, anders denk je juist veilig te werken terwijl dat helemaal niet is.

Edit: Nu ik zie dat bijna alle populaire websites er wat aan hebben gedaan doe ik het nu ook. Tweakers.net (check)
Wikipedia (check)
Google (check)

[Reactie gewijzigd door 12345dan op 22 juli 2024 19:08]

Jeroen73 11 april 2014 14:53

Nee, ik wacht nog even tot alle sites de bug hebben gefikst

Ik verwacht natuurlijk wel een update van tweakers over wanneer dat zover is...

HMC @Jeroen73 • 11 april 2014 16:28

In de comments op het originele topic hebben de crew al laten weten dat ze de update al doorgevoerd hebben.
Bovendien, waarom zou je wachten totdat ALLE sites de bug gefix't hebben, terwijl sommigen het nu wel al voor elkaar hebben.

Je kan bijvoorbeeld NU je Tnet wachtwoord aanpassen, maar nog even wachten met de sites waar je een account hebt, maar die de update nog niet doorgevoerd hebben.

Verwijderd 13 april 2014 08:42

Is er ergens een lijst met populaire websites die al aangepast zijn ?

Tronic @Verwijderd • 13 april 2014 10:11

Op Mashable staat een heel lijstje

Smooth 13 april 2014 19:42

Toch opmerkelijk dat het zoveel mensen niks zegt, of het ze niks interesseert. Is het nog geen item geweest in de mainstream media (NOS oid)? Weten de mensen niet wat inhoudelijk betekent?

Jaren heeft het gekost om mensen er op te attenderen goede wachtwoorden te verzinnen en voor elke site/dienst een andere aan te maken. iets wat er bij veel mensen nog niet in zit, en dan komt dit op het bordje van de simpele internetter.

Het feit dat mogelijk elk wachtwoord op elke site die ze maar gebruiken (oké, drie kwart..) bekend zou kunnen zijn bij één of meerdere personen doet ze schijnbaar niks. Waarom niet gewoon elk wachtwoord veranderen? Verzin een systeem of neem een wachtwoord manager, maar reageer hierop. Echt onbenullig om het niet te doen..

mashell @Smooth • 14 april 2014 15:27

Er is een theoretische kans dat een kwaadwillend iemand de bug kende en via deze bug een deel van het geheugen van een server die ik ook gebruik heeft uitgelezen. Er is een theoretische kans dat precies op dat moment mijn credentials in het RAM stonden. Er is een theoretische kans dat iemand dat uitgelepelde geheugen heeft gereconstrueerd en mijn credentials daar heeft herkend en gevonden.
Er is ook een theoretische kans dat een nog onontdekte asteroïde morgen het leven op deze planeet onmogelijk maakt, misschien is die kans zelfs wel groter. Samengevat: dit is volgens mij vooral iets voor de server beheerders om te patchen, maar ik acht het niet noodzakelijk om als gebruiker hiervoor tig sites af te gaan en daar wachtwoorden te gaan wijzigen.

Sneeuwhond @Smooth • 15 april 2014 16:41

Omdat het tijdsverspilling is, oh wee als ze op mijn tweakers/flitsservice/overclockers/gtagames/whatever account komen.

En Gmail zegt zelf niks dat de wachtwoorden zijn gejat, ik geloof het allemaal wel.
Wanneer Gmail of een financieel gerelateerde site of de digid een mail stuurt dat de Pw veranderd moet worden doe ik dat ( uiteraard niet via de link in de mail maar via de website ivm. phishing risico). Wanneer ik van dutchbodybuilding of overclockersuk of civfanatics ( of iets gelijks) een mail krijg van ''verander je pw'' dan druk ik gelijk de delete knop in, kan mij t schelen ?

Heilige Kaas 14 april 2014 09:45

Vandaar het bericht van google dat er een verdachte verbinding was met mijn account vanuit ergens in china.

Deze persoon had mijn wachtwoord correct geraden en het is niet iets dat je zomaar kan raden. Nu heb ik gister mijn gmail wachtwoord veranderd, en ook mijn andere email accounts die dit wachtwoord gebruiken. Kan het zo zijn dat ik nu weer mijn wachtwoord moet veranderen? Is er kans dat ze mijn nieuwe wachtwoord ook al hebben gevonden?

In eerste instantie gaf ik mijzelf de schuld omdat ik net die dag ook weer eens wou inloggen op een spelletje van mijn jeugd met vele pogingen tot ik het goede wachtwoord heb gevonden. Als een van deze sites in een keer onbetrouwbaar blijkt dan geef je gewoon gratis je gegevens weg. Vandaar dat ik ook maar heb besloten dat mijn email accounts een eigen wachtwoord krijgen.

pizzafried @Heilige Kaas • 14 april 2014 17:58

ja dat kan. Als de private keys van de certificaten binnengelepeld zijn en de beheerders hebben daarna alleen de bug gepatcht, dan kunnen ze met die key gewoon weer afluisteren. Beheerders moeten dus de certificaten opnieuw aanvragen met nieuwe private keys.

Room42 11 april 2014 12:43

Ik mis de optie: "Ik ben vreselijk veel uren aan het verstoken omdat we al onze klanten moeten patchen en certificaten opnieuw aan moeten vragen."
Fijn werk.

Op dit item kan niet meer gereageerd worden.

Poll

Bloedend hart

Reacties (36)

Sorteer op:

Weergave: