Let op: uw wachtwoord is gehackt

Zo werken 'datalek-databases'

Titel

Met tien miljard records van 522 websites is er een grote kans dat je weleens een melding hebt gekregen van Have I Been Pwned over een datalek waar je e-mailadres bij voorkwam. Tegenwoordig krijg je dergelijke waarschuwingen ook al snel als je betaalt voor een wachtwoordmanager, en het bedrijf waar je werkt heeft intern misschien een waarschuwingssysteem voor gestolen credentials. Er komen steeds meer databases die het internet checken op gestolen gebruikersnamen en wachtwoorden en die gebruikers daarvoor waarschuwen. Sommige zijn voor iedereen beschikbaar, maar achter de schermen zijn er ook veel diensten die zich op bedrijven richten en die je daarom vaker tegenkomt dan je denkt.

Wachtwoordmanagers

Een dienst om wachtwoorden te checken komt ook in toenemende mate voor bij wachtwoordmanagers. Het is een logische toevoeging voor zo'n dienst, die toch al al je wachtwoorden beheert en ze dan net zo goed meteen kan checken. Bij de meeste wachtwoordmanagers gaat het om een onderdeel van het premiumpakket, maar er zijn ook veel wachtwoordmanagers in de browser die een dergelijke functie hebben. Wachtwoordmanagers geven de diensten vaak omineuze namen. LastPass en Dashlane noemen het bijvoorbeeld dark web monitoring. 1Password kiest voor het iets neutralere Watchtower. Ook wachtwoordmanagers die in browsers voorkomen, zoals bij Firefox' Lockwise of in Chrome, waarschuwen bij zwakke of gelekte wachtwoorden. Daarover schreef Tweakers onlangs een Plus-artikel. In beginsel doen de credentialcheckers ongeveer hetzelfde; je krijgt een waarschuwing te zien als je e-mailadres, wachtwoord of combinatie van beide is gedecteerd bij een van de vele datalekken die in het verleden zijn voorgekomen. In de praktijk zit er wel een groot verschil tussen de checkers.

Grote verschillen

Zo biedt LastPass met Dark Web Monitoring bijvoorbeeld alleen een check aan waarmee je kunt controleren of een e-mailadres in een databreach voorkomt. Wachtwoorden vallen daar niet onder. Dat maakt het heel moeilijk om het praktische risico in te schatten. Bij 1Passwords Watchtower-functie krijg je wel te zien of een wachtwoord ergens in een datalek voorkomt, maar dat is niet veel beter. 1Password controleert namelijk via Have I Been Pwneds Pwned Passwords alleen óf een wachtwoord in een datadump zit. Have I Been Pwned koppelt die gegevens echter niet aan elkaar, zoals we later in dit artikel nog uitleggen. Veel diensten waarschuwen ook wanneer ze merken dat een wachtwoord zwak is. Dat gebeurt simpelweg op basis van wachtwoordlengte en lijsten met veelvoorkomende wachtwoorden.

Uiteindelijk heb je niet zoveel aan zo'n melding of een e-mailadres wel of niet in een database voorkomt, betoogt Jeroen van Beek. De freelance pentester zette een paar jaar geleden de wachtwoordendatabase Scattered Secrets op, samen met ethisch hacker Rickey Gevers. Scattered Secrets verzamelt zelf gestolen credentials, maar richt zich voornamelijk op bedrijven. Daarmee heeft de dienst weliswaar een heel ander verdienmodel dan andere databases, maar de essentie blijft volgens Van Beek dat je er als gebruiker of klant nu eenmaal weinig aan hebt als je hoort dat je e-mailadres ergens is gestolen. "Daarmee weet je niet zoveel", zegt hij. Hij verwijst naar het merendeel van de wachtwoorddatabases dat niet zozeer credentials verzamelt, maar vooral e-mailadressen. Die kunnen ook van bijvoorbeeld spamlijsten komen. Ze zijn makkelijk te vinden op internet, meestal gratis en niet eens op het darkweb maar gewoon op Pastebin. Die lijsten zijn vaak omvangrijk: bij Have I Been Pwned bestaat de top drie van grootste 'datalekken' uit zulke spamlijsten die samen meer dan 2,2 miljard records tellen. Als je een dreigingsniveau gaat opstellen voor jezelf of je organisatie zegt dat echter niet zoveel.

Threat model

In de meeste bedreigingsmodellen zegt enkel een gelekt e-mailadres nooit zoveel"De meeste mensen kennen Have I Been Pwned wel en vragen zich af wat het verschil is met andere diensten", zegt Van Beek. "Maar HIBP is eigenlijk alleen een e-mailnotificatiedienst. Het kan heel nuttig zijn om die informatie te krijgen, maar een waarschuwing kan net zo goed onschuldig zijn. De grootste bronnen zijn spamlijsten. Dat je daarop staat weet je vaak al, daarvoor hoef je alleen maar naar je spambox te kijken." Volgens Van Beek zijn met name zakelijke gebruikers niet geïnteresseerd óf ze in een datadump zitten, maar wel in hoe groot de impact is voor henzelf. "Je kunt in een organisatie niet honderden mensen een mail sturen met 'hey, je e-mailadres komt voor in een database, kijk maar wat je ermee doet'. Je hebt context nodig." Daarom verzamelt Scattered Secrets alleen maar credentials waarbij naast het e-mailadres ook het wachtwoord is buitgemaakt.

Troy Hunt van Have I Been Pwned is er altijd open over geweest dat hij geen wachtwoorden opslaat bij de e-mailadressen die hij verzamelt. Niet omdat dat wel of niet praktisch is voor gebruikers, maar omdat hij de dienst in zijn eentje draait en daarom de beveiliging ervan niet wil garanderen. "Je kunt niet kwijtraken wat je niet hebt", zei Hunt eerder in een interview met Tweakers. "Als Have I Been Pwned door iemand wordt gehackt, heeft de hacker alleen e-mailadressen." Hij geeft toe dat dat 'een klein deel is van alles wat er op straat ligt', maar om alle e-mailadressen en hun bijbehorende gegevens bij elkaar op te slaan is riskant, zegt hij. "Absolute beveiliging bestaat niet. Wie zegt dat dat wel zo is, is een idioot." Scattered Secrets doet dat anders. Van Beek is zelf IT'er van beroep en weet daarom wel het een en ander van de beveiliging van data. "Ik weet vooral wat je niet moet doen", zegt hij.

Pwnd Passwords

Desondanks begon Hunt in 2017 toch met een dienst waarbij hij wachtwoorden verzamelde: Pwned Passwords. De verzameling bestond aanvankelijk uit 306 miljoen wachtwoorden. Inmiddels staan er 613 miljoen wachtwoorden in de database, die hij aggregeerde uit verschillende datalekken die hij door de jaren heen verzamelde en die, net als de spamlijsten die Van Beek eerder noemde, gewoon in bulk op websites zijn te vinden. Het grote verschil met diensten als Scattered Secrets of de concurrenten is dat Pwned Passwords alleen de wachtwoorden toont en niet het bijbehorende e-mailadres. Het is iets nuttiger om te zien of een specifiek wachtwoorden is gestolen in een databreuk, zeker als het een uniek wachtwoord is. Context ontbreekt echter nog steeds, want je hebt geen idee of het om jouw wachtwoord gaat en bij welk account dat hoort.

Kwaliteit van databronnen

Waar Troy Hunt van HIBP in blogposts vaak uitgebreid en transparant vertelt over waar hij de gegevens uit de datalekken vandaan haalt, is bij van veel wachtwoorddatabases lastig te achterhalen waar die informatie vandaan komt. Sommige diensten verzamelen de informatie zelf. Neem Google, dat een lijst online heeft staan met bekende datalekken die het gebruikt in de ingebouwde Chrome-wachtwoordmanager. Daarin noemt het een handvol spamlijsten zoals 'de 1,4 miljard-lijst', en datalekken zoals die van Dropbox of MySpace. Hoe Google precies aan die data komt is niet duidelijk, maar wie de lijst goed bekijkt ziet daar vooral laaghangend fruit op staan. Het zijn lijsten die van bronnen komen die je met een beetje handig googelen en minimale internetkennis bij elkaar hebt. De lijsten staan gewoon op Pastebin of op Raidforums en kosten meestal geen geld meer. Dat betekent ook dat de data vaak flink verouderd is. De MySpace-hack vond bijvoorbeeld plaats in 2016, en zelfs toen was de data erin al verouderd. Voor e-mailadressen is dat irrelevant, maar een groot deel van de gebruikers heeft in de tussentijd wel ergens zijn wachtwoord veranderd.

Er is dan ook een groot verschil in de kwaliteit van de bronnen van verschillende wachtwoorddatabases. Waar Google grotendeels oude data gebruikt die vaak semi-openbaar zijn, hebben gespecialiseerde bedrijven een andere aanpak. Neem Enzoic, dat de wachtwoorddatabase beheert die onder andere LastPass gebruikt. Enzoic gebruikt 'een mix van menselijke en geautomatiseerde bronnen' om breaches te vinden. Daarbij worden ook kleine datalekken gebruikt die niet prominent in het nieuws komen, en de inhoud wordt gecontroleerd en geverifieerd door het bedrijf. Hoe groot de omvang van Enzoics database is, is niet bekend, maar omdat de data ook gecureerd wordt, geldt wel duidelijk een kwaliteit-over-kwantiteit-aanpak. De website benoemt dat zelf ook: men beheert de database om 'onnodige waarschuwingsvermoeidheid te voorkomen'.

Hackingforums en Pastebin

Jeroen van Beek van Scattered Secrets herkent dat wel. Hij zoekt voor de dienst online naar datalekken en vindt regelmatig grote spamlijsten vol e-mailadressen, recente en ook oudere datadumps. "Dat zijn soms dumps met honderd miljoen credentials, dat zijn grote jongens", zegt hij. Relatief nieuwe datalekken worden vaak voor veel geld aangeboden. "Laatst zag ik een dump van ParkMobile-gegevens voorbij komen voor zo'n 125.000 dollar. Dat lijkt me trouwens vrij veel voor wat je ervoor krijgt. We kopen die dumps niet, want dat mag wettelijk niet, maar wat je vaak ziet is dat zo'n dump een paar keer verkocht wordt en daarna alsnog kosteloos beschikbaar komt."

Scattered Secrets gebruikt volgens Van Beek twee methoden om datalekken op te sporen. "We houden hackingforums goed in de gaten. Daar zie je grote dumps al snel voorbijkomen, vaak als een kort levende download-link. De recente Facebook-scrape kwam bijvoorbeeld al vroeg voorbij, al hebben we daar niks mee gedaan omdat er geen wachtwoorden in stonden. De torrent kon iedereen echter binnen een uur of twee simpel binnenhalen." Een andere methode is om sites als Pastebin te monitoren, zegt hij. "We hebben daar een paar scrapers op draaien. Als je daar wat zoektermen op loslaat filtert dat bijvoorbeeld op bepaalde types hashes. De kans is groot dat daar een hashbestand uit komt. Vaak is dat een soort preview, bijvoorbeeld met honderd of duizend voorbeelden, maar soms gaat het om complete datadumps die je vanzelf tegenkomt."

En Have I Been Pwned, de bekendste lekdatabase? Troy Hunt heeft geen structurele aanpak voor het opsporen van datalekken. Hij krijgt ze regelmatig binnen van beveiligingsonderzoekers, waarbij hij profiteert van de bekende naam die hij inmiddels in de securitywereld is. Ook vindt hij ze regelmatig zelf op internet.

Authenticatie

Voor datalekdatabases maakt het niet per se uit of bronnen authentiek zijn, al proberen de diensten soms wel de authenticiteit te verifiëren. Troy Hunt vertelde al eerder dat hij daar verschillende methodes voor gebruikt. Hij vraagt het bijvoorbeeld na bij Have I Been Pwned-gebruikers, maar gebruikt ook tools zoals wachtwoordresetfuncties op websites of Mailinator. Van Beek erkent dat verificatie moeilijk is, maar het kan soms wel. Zo kunnen sommige gebruikers een specifiek e-mailadres gebruiken voor een bepaalde dienst. Dat gebeurde bij het datalek van AlleKabels, waarvan RTL Nieuws ontdekte dat aanvankelijk alleen gebruikers met een [e-mail]-adres een waarschuwing hadden gekregen. Zulke gegevens zijn een goede indicatie waar een datalek vandaan komt.

Maar volgens Van Beek is het helemaal niet altijd nodig om zeker te weten of een datalek authentiek is. "Ook als het niet klopt, kunnen de data nog steeds een risico zijn voor klanten. Als je kijkt naar het dreigingsmodel is het grootste gevaar voor de meeste bedrijven credential stuffing, dus het hergebruiken van veel wachtwoorden. Als de data op straat liggen en iemand kan ze kraken, dan zal hij dat proberen. Als het werkt, werkt het, en of de bron dan authentiek is of niet is voor een klant niet zo belangrijk." In sommige gevallen, zegt Van Beek, is het duidelijk dat er een datalek heeft plaatsgevonden. Zoals bij LinkedIn, dat zelf toegaf dat het in 2016 was gehackt. "Maar kijk naar zo'n geval als het datalek bij Allekabels: daarbij was lange tijd onduidelijk wat er nou precies was gebeurd."

Zoals Jeroen van Beek van Scattered Secrets al eerder zei, bieden e-mailadressen zonder context, of in ieder geval zonder bijbehorende wachtwoorden, niet zoveel informatie. Daarom zoeken veel breachdatabases ook naar de bijbehorende wachtwoorden bij datalekken. Dat is niet altijd even makkelijk. Het gebeurt slechts in zeldzame gevallen dat wachtwoorden in plaintext zijn te vinden. De meeste wachtwoorden moeten eerst worden achterhaald. Of zoals Van Beek het zegt: "Je moet wachtwoorden vinden, maar ook kijken of ze kraakbaar zijn."

Hashes kraken

De meeste wachtwoorden in databases worden gehasht, en daarom is het nodig ze eerst te kunnen kraken. Scattered Secrets kwam twee jaar geleden in de bekendheid toen het de wachtwoorden van een sekswerkersforum wist te kraken. Het ging om wachtwoorden die met MD5 waren gehasht, een algoritme dat al jaren als zwak wordt beschouwd.

'In een set van duizend wachtwoorden zit altijd wel een 123456' De eerste stap is om te kijken of er überhaupt wel e-mailadressen in een dump zitten. Van Beek: "Dat is vaak het geval, maar soms ook niet. Dan gaat het om gebruikersnamen waarmee iemand niet uniek is te identificeren." Daarna checkt Van Beek of er een hash in zit, en de belangrijkste stap is dat je moet uitzoeken welke vorm van welk hashalgoritme in de eerste plaats is gebruikt. Dat is direct een uitdaging, zegt Van Beek. "Je hebt veel verschillende soorten hashes. Neem MD5, daar komt een hash van 32 hexidecimale tekens uit rollen. Maar als je iets twee of drie of tien keer hasht met MD5, blijft die hash zo groot. Daarnaast kun je te maken hebben met salts, of met peppers waarmee het wachtwoord langer kan worden gemaakt vóór het werd gehasht ... Er zijn veel opties."

De manier om te achterhalen met welke hash wachtwoorden in een datadump zijn versleuteld, is aannames doen. Van Beek pakt daarvoor een dataset van bijvoorbeeld een paar duizend hashes uit de dump, en veelgebruikte wachtwoorden zoals 'password' of '123456'. "Vervolgens laat je die wachtwoorden met verschillende smaken van potentieel gebruikte hash-algortimes los op de aangetroffen hashes en kijk je of er iets wordt gekraakt. Zo ja, dan weet je exact welk algoritme gebruikt is en kun je aan de slag met de volledige dataset."

Servercode online

Als websites een salt toevoegen aan een wachtwoordhash kan het lastig zijn die te ontdekken. "Soms heb je geluk en zie je dat het om een sql-database gaat waar dan bijvoorbeeld een kolom met 'salts' in zit", zegt Van Beek. "Maar vaak weet je zoiets niet. Bij de Dropbox-hack bijvoorbeeld, was een groot gedeelte van de wachtwoorden gehasht met SHA-1, maar omdat de salt er niet bij zat, waren deze niet te kraken. Bcrypt kraken verloopt, in tegenstelling tot veel oudere algoritmes, traag op videokaarten." In sommige gevallen is tijd de vriend van de kraker. "Soms zijn er aanvallers die naast data ook de applicatiecode van de server hebben gehackt. Als je forums in de gaten houdt zie je soms een paar maanden later die code opduiken. Je kunt daarmee reverse-engineeren wat het gebruikte algoritme en de salt is."

Voor het kraken zelf gebruikt Scattered Secrets eigen hardware. Die maakt deels gebruik van cpu's en gpu's, met software zoals John the Ripper of Hashcat, maar unieker is dat de dienst vooral fpga's gebruikt. "De laatste jaren wordt bcrypt steeds populairder als hashingalgoritme voor wachtwoorden", zegt hij. Bcrypt beschermt vooral goed tegen bruteforce-aanvallen, en dat werkt dus niet zo goed op videokaarten. "Met field-programmable gate arrays kunnen we dat toch op een redelijk tempo doen." Bcrypt, maar ook andere moderne hashingalgoritmes zoals scrypt en Argon2, zijn er bewust op gemaakt om aanvallen met gpu's moeilijker te maken. Fpga's zijn volgens Van Beek veel beter om Bcrypt-hashes te draaien. "De grap is dat er ooit een paar Russen waren die code hebben gemaakt om fpga's te gebruiken voor het kraken van wachtwoorden op Bitcoin mining-hardware. Inmiddels gebruiken miners andere hardware en komen hun fpga's daardoor beschikbaar op de markt. We hebben een paar jaar geleden een hoop van die bordjes gekocht."

De eigen hardware met fpga's die Scattered Secrets gebruikt om wachtwoordhashes te kraken.

Het nadeel ervan is dat de machines van Scattered Secrets behoorlijk groot zijn. "Als ik iets nieuws bouw, staat het een maandje of twee in m'n huis om te testen of het goed werkt. Daarna gaat het naar een aparte locatie. Dat moet ook wel, want sommige van onze rigs wegen wel veertig kilo en zijn lompe apparaten die flink in de weg staan." Daarnaast vreten ze ook stroom, zeker als ze dag en nacht hashes lopen te kraken, ondanks dat ze een stuk energiezuiniger zijn dan gpu's. Van Beek: "Het is een dure hobby, inderdaad."

Doorlopend proces

Het blijft een doorlopend proces om gestolen credentials in een database bij te houden. Een bedrijf dat zo'n dienst beheert kan er moeilijk een keer een paar miljoen wachtwoorden in inladen en het daarbij laten. Jeroen van Beek zegt dat ook Scattered Secrets daarom constant wordt bijgewerkt. "Ons doel is om die informatie zo actueel mogelijk te houden. Dat doen we op twee manieren. De meest voor de hand liggende is uiteraard om steeds nieuwe data te verzamelen. Wat ook interessant is, is dat oude data niet per definitie oninteressant zijn. Ook jarenoude datasets kunnen nog steeds nuttige informatie bevatten. Hij verwijst naar de LinkedIn-hack waarin wachtwoorden uit 2012 stonden. Van Beek kraakt er nog dagelijks wachtwoorden uit. "Veel mensen weten inmiddels wel dat 123456 geen goed wachtwoord is. Maar in plaats daarvan kiezen ze nu één ingewikkeld wachtwoord voor alle diensten die ze gebruiken. Die proberen we alsnog nog te kraken omdat dergelijke wachtwoorden vaak meer waarde hebben voor onze klanten." Veel wachtwoorden in de LinkedIn-database werden met SHA1 gehasht. Ruim 95% daarvan is door de jaren heen al gekraakt. "Dat is een hoog percentage, maar op meer dan 110 miljoen gelekte accounts betekent het dat er steeds vele miljoenen wachtwoorden zijn te kraken", zegt Van Beek. "En daar vinden we er elke maand nog duizenden tot tienduizenden van."

Reacties (60)

[Darses]

Artikel 139g Wetboek van Strafrecht
Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft degene die niet-openbare gegevens:
a. verwerft of voorhanden heeft, terwijl hij ten tijde van de verwerving of het voorhanden krijgen van deze gegevens wist of redelijkerwijs had moeten vermoeden dat deze door misdrijf zijn verkregen;
b. ter beschikking van een ander stelt, aan een ander bekend maakt of uit winstbejag voorhanden heeft of gebruikt, terwijl hij weet of redelijkerwijs moet vermoeden dat het door misdrijf verkregen gegevens betreft.
2 Niet strafbaar is degene die te goeder trouw heeft kunnen aannemen dat het algemeen belang het verwerven, voorhanden hebben, ter beschikkingstellen, bekendmaken of gebruik van de gegevens, bedoeld in het eerste lid, vereiste.

Waar ik vooral benieuwd naar ben is hoe met name de Nederlandse websites het voorhanden hebben van deze gelekte data verantwoorden. Onder de AVG is het namelijk al zo goed als verplicht om betrokkenen op de hoogte te stellen dat hun wachtwoord (of wachtwoordhash) buit is gemaakt. Immers kunnen deze logingegevens misbruikt worden en vormen zo een hoog risico voor een betrokkenen.

Nu ben ik mij er ook wel van bewust dat niet ieder bedrijf iedereen altijd even goed informeert, maar dat is natuurlijk geen vrijbrief om zomaar je eigen database te gaan aanleggen. Laat staan om die gegevens te bewaren nadat alle betrokken zijn geïnformeerd.

Ik ben er overigens wel een voorstander van om een database van alleen wachtwoorden aan te leggen, daarmee kunnen bijvoorbeeld de wachtwoordoplossingen controleren op het gebruik van bekende wachtwoorden. Maar daarvoor lijkt het mij dus niet nodig om ook e-mailadressen te verzamelen, laat staan deze aan elkaar te linken.

Mijn vraag is dus: welk algemeen belang dient een website als scattered secrets met hun database van gelekte e-mailadres en wachtwoord combinaties?

[BezurK]

Zie lid 2 voor je antwoord. Algemeen belang kun je hier prima aannemelijk maken.

[abeker]

Darses's vraag is nou juist *wat* het algemeen belang is waarvoor het nodig is om volledige inlogcombinaties voor websites inzichtelijk te maken.

Is het echt nodig om het complete wachtwoord te kunnen zien, of zouden (bv) de laatste drie tekens volstaan? Of helemaal geen wachtwoorden, maar alleen de websites waarvan bekend is dat wachtwoorden zijn gelekt? Of moet je het informeren van gebruikers over gelekte inloggegevens overlaten aan de partijen waarbij de gegevens gelekt zijn?

In de huidige opzet is Scattered Secrets een goudmijn voor kwaadwillende hackers. Een hacker die inloggegevens voor iemands e-mail heeft, kan zo heel makkelijk aan nog veel meer wachtwoorden komen en heel veel schade aanrichten.

Sowieso bizar dat Scattered Secrets wachtwoorden 'plaintext' opslaat, één foutje en ruim vier biljoen inloggegevens zijn in handen van hackers, lekkere gedachte...

[banaj]

vraag is nou juist *wat* het algemeen belang is waarvoor het nodig is om volledige inlogcombinaties voor websites inzichtelijk te maken.

Zoals (min of meer) genoemd in het artikel: als je een bedrijf bent kun je weinig zonder wachtwoorden. Met wachtwoorden kun je vaststellen of het een vals alarm is of een echt probleem. En als een echt probleem dan actie ondernemen. Zonder wachtwoorden kun je hooguit aan je werknemers vragen: denk jij dat het een probleem is en zo ja kun je dan je wachtwoord wijzingen? Als dat dan al gebeurt dan is dat NADAT je al gehackt bent

[SinergyX]

En dat was nu de dienst waar ik het al jaren over had, waar jij (als geverifieerd eigenaar van een emailadres) kan inzien welke wachtwoorden precies zijn uitgelekt. Ik werk niet met wachtwoord managers, ik werk met een eigen systeem. Verschil is dat ik daarbij de precieze bron kan achterhalen, ipv een 'ergens een database gevonden'. Werkt zoveel fijner dan haveibeenpwned, omdat mij niet boeit dat mijn email er in staat, maar in combinatie met welk wachtwoord.

Deze moet ik echt in m'n favorieten zetten

[lo3k]

Misschien begrijp ik je verkeerd. Maar je zeg je nou dat je "een eigen systeem hebt" om je wachtwoorden te onthouden en dat je "aan het wachtwoord kunt zien waar die is uitgelekt"?

Dat klinkt alsof je in "jouw systeem" de naam (of ander kenmerk) van de website in je wachtwoord verwerkt?
qwerty123Tweakers
qwerty123Bol
Rara wat zou je wachtwoord voor Coolblue zijn?

Veel veiliger is om je emailadres op die manier te kenmerken ([e-mail], [e-mail]) en een randomly generated (en vooral lang) wachtwoord via een password manager te beheren.

[3raser]

Waarom zou zijn systeem niet veilig kunnen werken? Hij zou een passwordcard kunnen gebruiken en ieder wachtwoord kunnen beginnen met de naam van de website.

Tweakers@gfSDg435b34g
Bol@kh53vw3vVFW
Coolblue@345tgGv2v53

Ziet er vrij veilig uit volgens mij.

[mrwiggs]

Lijkt me toch niet echt veilig, als je iemands passwordcard vindt kun je vrij makkelijk gaan bruteforcen. En dan is het hetzelfde als je wachtwoord op een post-it..

De truc van de eerste letter van de website of de naam van de website ervoor plaatsen is ook al redelijk bekend en zal dus ook geprobeerd worden door krakers.

[Tadsz]

De kracht van de password card zit 'm dan in dat je username ook gebruteforced moet worden. Dat maakt het al aanzienlijk moeilijker. In het geval van een targeted attack natuurlijk minder veilig.

[Marzman]

Je kan gewoon varieren, eerste twee letters, laatste drie en niet aan het begin of eind van je eigen wachtwoord maar ergens ertussen.

Ja, er is een link, maar je kan het gemakkelijker onthouden dan random wachtwoorden en het is niet heel gemakkelijk om de link te vinden. Dan moeten ze toch echt meerdere wachtwoorden van je hebben al om overeenkomsten te zoeken.

[lo3k]

Cool, die passwordcards kende ik nog niet.

Met zo'n passwordcard voeg je inderdaad een vorm van randomness toe. Dat is zeker al een hele verbetering tozv een systeem waarbij je de naam van de website aanvult met steeds hetzelfde wachtwoord.

Je wachtwoorden hebben dan echter nog steeds een "link" met elkaar (namelijk de passwordcard). Het veiligste is als ze totaal geen link hebben zoals @DerDee hieronder ook al opmerkt.

[DerDee]

Ja het is veiliger als 3 keer hetzelfde wachtwoord. Maar er zit nog steeds enorme limitaties aan. In reacties is al wat terug gegeven. Maar daarbij is het ook nog eens een fysiek iets dat je kwijt kunt raken. Met een masterkey die je dus niet bij je wilt dragen, want dan kom je geen account meer in als je portomonee verliest met passwordcard en de masterkey. Dus ook nog een tweede veilige plek nodig voor je masterkey.

Daarnaast kun je je afvragen waarom je het zou je dit zou willen limiteren tot 5 mogelijkheden, vooral dit zorgt voor de voorspelbaarheid. En als je dan toch bezig bent met het aantal te vergroten, werk je uiteindelijk toe naar een password manager. Deze heeft voor elke een uniek wachtwoord en onthoud het ook voor je (net als je kaartje dat doet). Er zijn dus in dat geval eigenlijk weinig redenen meer om geen password manager te gebruiken.

[3raser]

5 mogelijkheden... hoe kom je daar nu bij? Heb je wel gelezen hoe de passwordcard werkt?

[DerDee]

Excuses, dat was inderdaad een fout, het is 8. Het gaat om het aantal wachtwoorden dat op het kaartje staat. Dus zonder toevoeging van website. Dat is zeer beperkt. En maakt relaties trekken dus ook mogelijk, het verschil tussen 5 en 8 is nog niet echt het verschil, waarom staan er geen 32 op bedoel ik meer. En trek je die lijn door, of zeg je daarbij al "je kunt ook 4 kaartjes gebruiken". Ja dat kan, maar je kunt ook gewoon een password manager gebruiken, dat bied al deze voordelen met veel meer, zonder de gepaarde risico's die aan passwordcards zitten. Zoals fysiek verliezen/beroven en een link tussen je verschillende wachtwoorden.

[3raser]

Lees de uitleg eens zou ik zeggen. Je kunt namelijk verschillende startposities gebruiken, van rechts naar links lezen of zelfs diagonaal lezen. Net wat je zelf wilt. Tientallen zo niet honderden wachtwoorden zijn hier mee te maken.

[DerDee]

Je hebt helemaal gelijk, ik was veel te simpel aan het denken om van links naar rechts te lezen en bij eerste teken te beginnen (en laatste te eindigen). Combinaties zijn te beschrijven als "ongelimiteerd" in zekere zin. En wat betreft deze lijn van berichten is dat het eindpunt, want dit kan net zo veilig zijn als een password manager. En daarmee is dit een direct alternatief, beide met eigen voor- en nadelen.

Bedankt op het het wijzen van mijn fouten, ik ben weer wat wijzer geworden.

[SinergyX]

In theorie, ja. Praktijk, een systeem die iets complexer is dan simpel gokwerk. Dat systeem heb ik nog nooit aan iemand verteld en heeft totaal geen basis voor iemand 'die slim is met algoritmes te herkennen', het is geen simpele random 123456<website>. Secondair heb ik 2FA aan staan waar dit allemaal mogelijk is, dus zelfs mocht je ooit iets vinden, heb je die ook nog te doen.

Simpel voorbeeld: eoX7b0 is een deel van wachtwoord van een bekende game, ik weet wat er staat, 0,000001% kans dat jij dit ook ziet (en uberhaubt welke game).

Simpele reden, ik kan er altijd bij. 1x zo dom geweest mijn hoofdwachtwoord kwijt te raken van mijn onepass, toen mijn vingerscanner besloot ermee te stoppen, dan heb je gewoon een groot probleem. Geen enkel systeem is waterdicht, managers ook niet (EOL, keylogger, MITM, etc).

[Reactie gewijzigd door SinergyX op 23 juli 2024 07:23]

[lo3k]

Roblox? ;-)

Of ik de game nu wel/niet goed heb geraden maakt niet zoveel uit. Punt blijft dat ik nu (onbedoeld) door "social engineering" alweer een stapje dichter bij de oplossing voor "jouw systeem" ben, en je jezelf daarmee weer wat kwetsbaarder hebt gemaakt.

De kans dat jouw (of mijn) wachtwoord op een gegeven moment op straat komt te liggen is bijna 100% (zie recente hacks bij diverse sites). Je punt dat geen enkel systeem waterdicht is klopt natuurlijk helemaal. Maar het verschil is, dat op basis van een van jouw uitgelekte wachtwoorden ook je andere wachtwoorden te raden zijn. Zeker als er meerdere van jouw wachtwoorden bekend zijn, dan wordt je systeem misschien nog wat duidelijker zichtbaar.

En ik acht de kans vele malen groter dat 1 of meerdere van jouw wachtwoorden op straat komt te liggen, dan dat je persoonlijk target wordt van een keylogger/MITM om je master-password te vinden.

[D-Three]

Jij hebt het nu over gericht een paswoord van iemand te proberen te achterhalen. Dit is een verschil met wanneer jouw paswoord wordt gelekt in een database samen met honderden of duizenden ander paswoorden. Dan ga je waarschijnlijk eerst voor de gemakkelijke slachtoffers? Zoals kijken of de combo mailadres en paswoord ook op andere plaatsen worden gebruikt? In het geval van SinergyX zal dat dus al niet werken, enkel op de site die werd gehackt. Of gaan zoeken op de paswoorden die de naam van de site bevatten, zoals jij aanhaalde.

Maar voor iemand die het niet weet zal het paswoord van SinergyX er waarschijnlijk wel behoorlijk random uit zien. En dan heb je gelijk. Want nu weten jij, ik en iedereen die de bovenstaande conversatie leest, dat zijn paswoorden toch niet random zijn.

[Reactie gewijzigd door D-Three op 23 juli 2024 07:23]

[lo3k]

Klopt, daar ben ik me bewust van. Maar “kijken of die combi ook ergens anders gebruikt wordt” gebeurd uiteraard geautomatiseerd. En natuurlijk zal dan eerst op zoek gegaan worden naar de makkelijke slachtoffers die overal hetzelfde wachtwoord gebruiken. Maar ik kan me ook voorstellen dat als je maar genoeg data van iemand verzameld en naast elkaar legt, dat zo’n script ook wachtwoorden met een zekere relatie makkelijker kan kraken.

[Wachten...]

Persoonlijk lijkt mij dit dan weer niet zo handig. Waarom niet een wachtwoord manager die compleet random wachtwoorden maakt en dit filteren met subadressing? Je doet exact hetzelfe, maar heb je wel overal compleet random wachtwoorden en hoeft niet te gissen of dingen te onthouden.

Maar ieder zijn ding he, laat ik dat voorop stellen. Ik denk alleen dat het minder veilig is.

Ik genereer (waar het kan) 64 teken wachtwoorden met minimaal 2 cijfers en 2 random tekenen hoofdletters en kleine letters.

[Wachten...]

Daar lijkt het inderdaad op @lo3k maar misschien heeft @SinergyX een ander geniaal systeem. Ik denk dat andere Tweakers dan ook wel benieuwd zijn hoe je dit doet?

@lo3k ik werk overigens ook op jouw manier. Ik heb 2 email adressen en werk nu sindskort enkel nog met subadressing (dus met + teken ertussen).

1 email adres gebruik ik voor online aankopen e.d. en een ander email adres met eigen domeinnaam gebruik ik voor echt de aller belangrijkste zaken en mail met familie en vrienden.

Overigens is subadressing sowieso extreem handig ook voor onderling verkeer over een specifieke zaak of onderwerp met vrienden of familie Ik vind het jammer dat ik dit niet 20 jaar eerder wist.
Ik hoop dat ik anderen hiermee wakker maak en het ook meer gaan gebruiken.

Een voorbeeld:
Ik mail wel eens met mijn vader over werk gerelateerde dingen en gebruik dan altijd [e-mail] hierdoor kun je super makkelijk en snel filteren, zonder dat je filters hoeft te configureren in de emailclient.

[Reactie gewijzigd door Wachten... op 23 juli 2024 07:23]

[michielRB]

Ik heb gewoon voor iedere website/forum/nieuwsbrief een ander emailadres. Dit zijn aliassen en komen allemaal in dezelfde mailbox uit. Inmiddels een stuk of 300 schat ik. Verder een uniek 10+character wachtwoord voor ieder account. En die staan weer in een keepass database.
Die database heb ik overigens nog in een veracrypt container, samen met wat andere belangrijke documenten.

[DerDee]

Openbaar maken van gekraakte paswoorden maak het in theorie weer makkelijker om lijsten te maken om te bruteforcen of het syteem te achterhalen. Als een domein provider te gekraakt wordt kun je op deze manier dus alle wachtwoorden opvragen die door die partij gehost worden. Dat is eenvoudiger/haalbaarder als 20k neerleggen voor de dataset in veel gevallen van de slimme hackers. Dus begrijp waar je vraag vandaan komt, maar lijkt me eerder slimme praktijk om jouw systeem aan te passen. Identificatie in emailadres i.p.v. in het passwoord.
Wat dus al veel mensen hier schijnen te doen is catch all op een domein en doorsturen naar het hoofdadres, daarbij is dus te herleiden waar de login vandaan komt ([e-mail]) zonder dat je enig informatie over de wachtwoorden vrijgeeft. Bij gmail is dit door + te doen <gebruikersnaam>[e-mail] komt gewoon binnen op <gebruikersnaam>@gmail.com.

"Publiekelijk" maken kan juist ook voor jou gevaarlijk zijn. Het is een kwestie van hoeveelheid wachtwoorden voor dat ik uit de wachtwoorden het systeem kan leiden. Jouw systeem is beter dan overal dezelfde (5) wachtwoorden gebruiken. Maar het is niet zo veilig als overal een ander wachtwoord te gebruiken wat op geen manier aan elkaar te linken is. Probleem van deze systemen is vaak dat ze gebaseerd zijn op site + salt + eventuele tijdsperiode. Veel meer ga je als mens niet kunnen berekenen/onthouden on the fly bij elke login. Dat is natuurlijk na een kraak of 3 door een logisch systeem relatief eenvoudig te kraken.

[Wachten...]

Ik heb het al eens eerder aangehaald, maar maakt het nu echt zoveel uit of er wel of geen wachtwoord buit is gemaakt , of wat het risico percentage is? (Lees even verder voordat je oordeelt)

Hier in ons gezin hebben we een protocol. Is jouw email adres ergens gelekt, dan verander je gewoon je wachtwoord, punt! Het is vandaag de dag met wachtwoord managers een peace of a cake om je wachtwoord te wijzigen. Je gaat toch geen risico lopen op letterlijk 5 minuten werk?

Het is natuurlijk anders als je email adres gelekt is, maar je weet niet waar dit geweest is.

Leuk en interessant artikel trouwens. Kan iemand ook duidelijkheid geven in hoevere dit soort services niks loggen e.d.? Bij HIBP kun je de database offline bekijken. Kan dit ook bij Scattered Secrets?

[Reactie gewijzigd door Wachten... op 23 juli 2024 07:23]

[DerDee]

Je gaat vanuit dat mensen de goede eigenschap hebben dat we nergens meer dezelfde wachtwoorden gebruiken. Daar gaan we wel naartoe, maar zijn we nog lang. Erg genoeg moet ik bekennen dat ik ook mijn familie nog niet zover heb, zelf ben ik wel heel eind ermee.

Dat houd dus in dat een kraak effect nog kan hebben op derde sites, dat is wel zo fijn om te weten. Zeker als je zo slordig bent geweest en op verschillende security niveaus hetzelfde wachtwoord hebt gebruikt, moet je als eerste de login aanpassen met een hoog security risico daarna pas de bron.

Uitgaand van jouw omstandheden, nee dan is het niet meer nodig. Want even ww aanpassen op 1 plek, is het probleem niet. Maar helaas zijn meeste mensen nog niet daar dus is het nog altijd van belang om te weten of je op derde plekken ook moet opletten. Vaak is alle wachtwoorden een lastig verhaal, door het vele werk en ontwenning van je vertrouwde wachtwoorden. Neemt niet weg dat het wel DE manier is.

[Wachten...]

Helemaal met je eens hoor, over het algemeen zijn 'niet tweakers' hier totaal niet mee bezig. Het verbaast me bijna dat dit niet van jongs af aan al wordt geleerd. Data, privacy etc is zo extreem belangrijk. Het is letterlijk de sleutel tot een hoop gezeik....

Ik merk helaas ook soms een soort "heb je hem weer". Totdat het mis gaat en komen ze ineens aankloppen bij me (al 3x gebeurd). Ergens kan ik het ze niet kwalijk nemen, want geen overheid of school die hier op hamert.

Ik ben gewoon eens een uurtje gaan zitten met mijn ouders, en een aantal vrienden en heb ze uitgelegd hoe (bitwarden in dit geval) werkt. Dan zien ze zelf hoe makkelijk en relaxt het is.

[DerDee]

Zelf nog huiverig om kosten aan te gaan door enige vendor locking. Ik weet dat paswoorden uit deze system vaak te exporteren zijn en daarmee over te zetten naar alternatieven. Maar met zelfde reden als bovenstaande, luiheid, wordt dat vaak niet gedaan.

En voor mijzelf is dan nog 1 ding, maar voor hele gezin of familie te doen is weer een ander ding. En dat is mijn eigen manco, ik bied het liever aan dat ze er geen omkijken aan hebben en mij ervoor betalen/vergoeden vind ik dat niet direct nodig. Maar daarmee haal ik mijzelf wel de last op de nek dat ik tot einde van dage aan een abonnement vast zit voor het gezin/familie.

Edit:
Zou graag de echte voordelen horen van een betaalde password manager over een iCloud-keychain/chrome keyvault. Afgezien van de privacy issues. Ik begrijp dat meeste hier heel gevoelig voor zijn, maar mijn redenatie erachter is dat een grote partij zich niet op glad ijs gaat begeven en dit misbruiken. De baten zijn vele malen lager als de prijs die wordt betaald als het uitkomt. Dat is een discussie opzich, begrijp ik heel goed. Daarom, waar betaal ik (naast de verbeterde situatie in privacy) voor als ik voor een 1password of Bitwarden ga, zijn dat niet echt alleen luxe functionaliteiten?

[Reactie gewijzigd door DerDee op 23 juli 2024 07:23]

[Sjnieboon]

Wat voor mij de extra waarde van Bitwarden is, is dat het open source én self hosted is. Open source vind ik belangrijk, en nee dat wil niet automatisch zeggen dat het veiliger is dan closed source, maar Bitwarden wordt ook geaudit. Self hosted vind ik een pré omdat ik redeneer dat een hacker veel liever een database van een grote partij als LastPass of voor mijn part Bitwarden.com probeert buit te maken, dan een zelf gehoste variant met maar een relatief laag aantal records.
Daarnaast vind ik het tientje dat Bitwarden vraagt op jaarbasis het meer dan waard om de ontwikkelaars een beetje te ondersteunen, en het biedt daarmee ook wat extra functionaliteit zoals onder andere Yubikeys.

[Reactie gewijzigd door Sjnieboon op 23 juli 2024 07:23]

[Wolfos]

Zeker in de tijd van voor wachtwoordmanagers, terwijl iedere website wel (meestal nodeloos) een login vereist, en een email adres die 99% van de diensten niet eens nodig zouden moeten hebben.

Tijd voor een nieuw systeem, want email is door en door rot.

[Reactie gewijzigd door Wolfos op 23 juli 2024 07:23]

[gpglang]

Als je weet dat in 2019 over de hele wereld het gemiddelde van 35 wachtwoorden per persoon is (jaja, is natuurlijk een schatting, maar geeft wel een indicatie), is het schier onmogelijk dat de mens die allemaal onthoudt. Dus mensen gaan bv met variaties werken of erger hetzelfde wachtwoord op verschillende locaties. Ergo, ze gaan privé en zakelijke gegevens met elkaar mixen en verwisselen. De gemiddelde mens, sorry, heeft dus niet die goede eigenschappen.
Alleen weten dat een account (emailadres) ergens is gevonden is gewoon niet genoeg. Of je moet ook weten welk wachtwoord (en dan dus op alle locaties waar je dat wachtwoord hebt gewijzigd dit direct aanpassen) of je moet weten van welke locatie het afkomstig is. En dan niet alleen op die locatie het wachtwoord aanpassen, maar op alle locaties waar je dat wachtwoord (en variaties) hebt gebruikt.
Zoals je stelt, in wezen is het inderdaad simpel, It is the way.

[kimborntobewild]

We kopen die dumps niet, want dat mag wettelijk niet

Zo jammer weer... als dumps wel gekocht mochten worden, zou meneer van Beek zulke criminelen dus wel geld geven??
Het is net als met ransomeware: daar moet je nooit op in gaan; want dan vergroot je het probleem juist; het wordt dan aantrekkelijker om ransomeware te maken/verspreiden.

[emphy]

De dumps worden toch wel gekocht door andere criminelen. In dat geval is het mogelijk juist nadeliger voor de aanbieder als onderzoekers het wél zo snel mogelijk kopen en openbaren, omdat dan de waarde van de dump sneller zakt.

[kimborntobewild]

Nee; je moet niet vrijwillig meewerken aan deze harde criminaliteit. Laat staat er voor betalen. Je bent dan trouwens een heler.

[edeboeck]

quote: Uit het artikel

Hij (Troy Hunt) geeft toe dat dat 'een klein deel is van alles wat er op straat ligt', maar om alle e-mailadressen en hun bijbehorende gegevens bij elkaar op te slaan is riskant, zegt hij. "Absolute beveiliging bestaat niet. Wie zegt dat dat wel zo is, is een idioot." Scattered Secrets doet dat anders. Van Beek is zelf IT'er van beroep en weet daarom wel het een en ander van de beveiliging van data. "Ik weet vooral wat je niet moet doen", zegt hij.

Niet voor het een of ander, maar Troy Hunt is ook IT'er van beroep en weet "daarom" ook wel het een en ander van de beveiliging van data. Die "daarom" vind ik bovendien misplaatst: laat ons ervan uitgaan dat alle gehackte (serieuze) sites door IT'ers van beroep gemaakt zijn. Ook wij, professionele IT'ers, maken fouten en in de software die we gebruiken, zitten ook fouten. Het nut van die argumentatie (of waarom het bij Scattered Secrets dan wel veilig zou zijn), zie ik dan ook niet in.

Los daarvan: interessant artikel!

[SgtElPotato]

Ja mee eens, Hunt wordt een beetje weggezet als ‘nep’ IT’er.

[VSB]

google eens op jeroen van beek en passport cloning.

[Anoniem: 58485]

Dit is zo oud als het internet. Ik heb ongeveer 2 jaar adult sites staan kraken, waar je normaal een paid subscription voor nodig had. De truuc was juist slecht ingestelde servers te vinden op waarop je letterlijk je eigen htpasswd en username kon injecten. Je werkt dus buiten het hele systeem om en kunt zo je eigen members aanmaken. Dat verkocht ik weer door.

Ik werkte met (bruteforce) tools zoals accessdiver, had echt superpopulaire user/pass combo lists enzo. En vaak trof je ook dat users 1 en hetzelfde wachtwoord voor alles gebruikte. Toen had je nog helemaal geen 2FA of iets in die richting. Ook gebruikte computers of HDD's via internet aanschaffen, en daar vervolgens een undelete tool op loslaten, schat van info

Of vroegere napster en toestanden, dat men gewoon hun hele C schijf met het internet deelde. Zoeken op Inbox.pst leverde duizenden resultaten op met toegang tot wereldwijd ieder z'n mailbox. Zo moeilijk was het niet om info te garen. Kraken van hashes was toen meestal gericht op MD5 en niet salt zoals nu het geval. Met een GPU was het inderdaad 10x sneller, maar met een goede A64 lukte het ook relatief rap.

Het voordeel voor mij in "de scene" was juist toegang tot level 10 user / pass combo's van echt premium websites; ook dat leide tot een schat van informatie waar je echt de hele dag zoet mee kon zijn. Tegenwoordig bouw ik (adult) websites en gebruik die kennis juist tot het beter beveiligen van websites en servers.

[Reactie gewijzigd door Anoniem: 58485 op 23 juli 2024 07:23]

[faim]

Gingen die adult sites niet via een back door?

[Anoniem: 58485]

Nee,

Het waren in dit geval gewoon slecht geconfigureerde servers, waarmee een inject van je eigen htuser en htpassword mogelijk waren. Je omzeilt het hele betaalsysteem eigenlijk en kon zo op deze manier eigen users invullen met een onbeperkte toegang.

Tegenwoordig is dat anders; ik zie veel website bouwers de fysieke content tegen betaling bijv, nog steeds onbeschermd op een website staan. Dus ook al heb je geen member access, als je de hard link weet dan kan je de video nog gewoon bekijken. Super stom.

[ShellGhost]

Ik gebruik liever een service die AD gekoppeld kan worden zodat meteen weet of de passworden niet gebruikt zijn in een gekaapte database.

[Mifuki]

Top artikel thx! Meteen een account aangemaakt bij Scattered Secrets, heel handig om exact te kunnen zien welke wachtwoorden met welk emailadres wanneer gelekt zijn.

[kodak]

Zoals het artikel al begint, er is een grote kans dat je gegevens gelekt zijn. En dat gaat alleen nog maar uit van wat wel gevonden is en aan de eisen van deze diensten voldeed om te informeren. We laten tijdens ons leven op heel veel plaatsen persoonsgegevens achter, heel veel mensen doen dat door jou gegevens te delen zonder dat je het weet, veel bedrijven lijken gegevens uit te wisselen zonder dat duidelijk is met wie en of dat wel veilig gebeurt. De kans dat je gegevens hoe dan ook te vaak lekken is enorm.

Het nut van deze diensten lijkt me uiteindelijk meer te zitten in bekend maken waar iets gelekt is. Als je dit soort diensten gaat gebruiken om te weten wanneer je je zorgen moet maken dan denk ik dat je je maar beter zorgen kan maken om wanneer je er aandacht voor hebt om je gegevens te (laten) beschermen. Ga er vanuit dat je gegevens lekken en neem vooraf genoeg maatregelen om dat te voorkomen. Waarom zou je namelijk aannemen dat je persoonsgegevens veilig zijn als je er geen zicht op hebt hoe bedrijven of zelfs familie en vrienden met jou persoonsgegevens om gaan?

[BezurK]

Ik heb laatst voor de grap eens de volledige database van HaveIBeenPwned in NTLM hashes gedownload. Die lijst is gesorteerd, meest voorkomende wachtwoorden bovenaan. Daar heb ik de top 500 wachtwoorden uit gepakt en die ben ik met hashcat gaan bruteforcen (incrementeel tot 8 karakters). Ik had werkelijk waar binnen een uur ruim 300 van die wachtwoorden te pakken. En ik heb slechts een simpele 1660 Ti.

Nu is het kraken van unsalted NTLM hashes ook kinderspel vergeleken met bcrypt e.d. maar ik vond het een heel geinig experiment. En ik kreeg meteen inzicht in de actuele top 500 meest gebruikte wachtwoorden. (of in ieder geval 300 daarvan die 8 karakters of minder hadden)

[Darses]

EDIT: was geen reactie op jou post BezurK, sorry

[Reactie gewijzigd door Darses op 23 juli 2024 07:23]