Akta er för Dustin, säkerhetsbrist

[screamin-daemon]

Har varit kund hos Dustin ett antal år och har faktiskt alltid varit nöjd, problemet är inte deras sortiment, support eller priser utan säkerheten. Det har nu kommit fram att Dustin lagrar alla lösenord i klartext. Detta är en smärre katastrof då många (dumma) kunder har samma lösenord till olika nätbutiker.

OM en förbannat medarbetare hos Dustin vill jävlas kan personen se alla lösenord, ännu värre är det ifall sidan blir hackad, då blir det verkligen problem.

Ni som har samma lösenord på olika butiker bör ändra lösenord direkt! Jag kommer däremot att avsluta mitt konto.
Nu när det har uppmärksammats kommer det troligen komma attack mot dustin då denna information är väldigt värdefull för tveksamma personer.

Dustin lovar att lösa problemet i början av 2014, faktum är att det borde ha varit löst för 10 år sedan.

Lite länkar:
http://www.sweclockers.com/nyhet/17951-dustin-i-blasvader-for-losenord-i-klartext

http://www.idg.se/2.1085/1.535381/dustin-sparar-kundernas-losenord---i-klartext

http://feber.se/webb/art/287444/dustin_sparar_anvndares_lsenor/

 

[Torparfarsan]

Säkerligen likadant hos många nätbutiker. Ytterligare ett skäl varför man bör göra sina inköp i en fysisk butik. Med andra ord köpa över disk.

 

[sbl]

Alla websajter som kan skicka ditt lösenord till dig sparar lösenorden på ett sätt så att de går att plocka ut.
Rådet för att komma runt grundproblemet är bra, ha olika lösenord på olika sajter. Det går att kombinera med ett program som håller reda på lösenorden åt dig och gör att du bara behöver komma ihåg lösenordet som låser upp det programmet. Om du bestämmer dig för att använda ett lösenordsprogram så välj ett riktigt starkt lösenord till det.

 

[eskil23]

Alla websajter som kan skicka ditt lösenord till dig sparar lösenorden på ett sätt så att de går att plocka ut.

Många webbsajter tycker att det är en bra "service" att kunna skicka tillbaka kundens lösenord med epost ifall kunden har glömt det. Det är dock inte ett dugg bättre service än att skicka ett helt nytt, slumpgenererat lösenord.

När det gäller "starka" lösenord så ska man komma ihåg att ett långt lösenord som går att komma ihåg är många gånger säkrare än ett kort lösenord med aldrig så kryptiskta specialtecken som man måste skriva upp för att komma ihåg. Payson t.ex. har inte fattat det och därför bojkottar jag numera Payson.

 

[Oquist]

Många webbsajter tycker att det är en bra "service" att kunna skicka tillbaka kundens lösenord med epost ifall kunden har glömt det. Det är dock inte ett dugg bättre service än att skicka ett helt nytt, slumpgenererat lösenord.





När det gäller "starka" lösenord så ska man komma ihåg att ett långt lösenord som går att komma ihåg är många gånger säkrare än ett kort lösenord med aldrig så kryptiskta specialtecken som man måste skriva upp för att komma ihåg. Payson t.ex. har inte fattat det och därför bojkottar jag numera Payson.

Ja, och en annan aspekt är att "jagtyckeromfotosidan" tar längre tid att få fram än "jky56#6", om någon lyckas hitta på en möjlighet att använda sig av "bruteforce".

 

[TBone]

http://xkcd.com/936/

 

[iSolen.se]

Har varit kund hos Dustin ett antal år och har faktiskt alltid varit nöjd, problemet är inte deras sortiment, support eller priser utan säkerheten. Det har nu kommit fram att Dustin lagrar alla lösenord i klartext. Detta är en smärre katastrof då många (dumma) kunder har samma lösenord till olika nätbutiker.

OM en förbannat medarbetare hos Dustin vill jävlas kan personen se alla lösenord, ännu värre är det ifall sidan blir hackad, då blir det verkligen problem.

Ni som har samma lösenord på olika butiker bör ändra lösenord direkt! Jag kommer däremot att avsluta mitt konto.
Nu när det har uppmärksammats kommer det troligen komma attack mot dustin då denna information är väldigt värdefull för tveksamma personer.

Dustin lovar att lösa problemet i början av 2014, faktum är att det borde ha varit löst för 10 år sedan.

Lite länkar:
http://www.sweclockers.com/nyhet/17951-dustin-i-blasvader-for-losenord-i-klartext

http://www.idg.se/2.1085/1.535381/dustin-sparar-kundernas-losenord---i-klartext

http://feber.se/webb/art/287444/dustin_sparar_anvndares_lsenor/

Du måste byta lösenord på alla andra ställen, Dustin är lite för sent...

 

[AFJ]

Är det någon här som faktiskt råkat ut för att ens kontokort eller identitet har använts OCH att man själv förlorat pengar på det?

Min uppfattning är att kontokortsföretagen tar smällen och det skulle ske.

Jag är betydligt mera orolig för att få inbrott i hemmet eller bilen - det brukar verkligen kosta en slant när det händer - för det gör det då och då.

Men kanske underskattar jag riskerna med nät-handel?

 

[reboot81]

Om du bestämmer dig för att använda ett lösenordsprogram så välj ett riktigt starkt lösenord till det.

Jag kör med lösenordsprogram och där har jag satt 'a' till huvudlösenord. Säkert? Ja, eftersom enda chansen att komma åt alla mina lösenord och lösenordprogrammet är via min dator eller mobil, och dessa två har starkare skydd är under fysisk uppsikt. Eller om man tar sig in på mitt Dropboxkonto, som oxå har ett långt och säkert lösenord.

För mig fungerar lösenordsprogrammen som en stor nyckelring med olika lösenord till alla webbplatser. Långa knepiga lösenord. Men nyckelringen låter jag ligga öppet på mitt köksbord om säger så. Och får jag inbrott, ja då får jag skylla mig själv. Men risken för det räknar jag som låg, jämfört med risken med likadana lösenord på 50-11 webbplatser.

Gör inte säkerhet till ett större bekymmer än det är. Enkla säkerhetsrutiner är sådana som följs och fungerar i praktiken. Bra säkerhet är när man dimensionerat låsen i rätt storlek för uppgiften och risken.

 

[screamin-daemon]

Du måste byta lösenord på alla andra ställen, Dustin är lite för sent...

Skrev bara att man skulle byta lösenord, inte att det enbart gällde Dustin. Hur som helst har Dustin lovat att om man byter lösenord kommer inte det gamla ligga kvar i systemet. Om det går att lita på är en annan femma.....

 

[iSolen.se]

Skrev bara att man skulle byta lösenord, inte att det enbart gällde Dustin. Hur som helst har Dustin lovat att om man byter lösenord kommer inte det gamla ligga kvar i systemet. Om det går att lita på är en annan femma.....

De skulle visst lösa problemet med nästa större release så även det nya borde i så fall vara lagrat på felaktigt sätt.

 

[iSolen.se]

Är det någon här som faktiskt råkat ut för att ens kontokort eller identitet har använts OCH att man själv förlorat pengar på det?

Min uppfattning är att kontokortsföretagen tar smällen och det skulle ske.

Jag är betydligt mera orolig för att få inbrott i hemmet eller bilen - det brukar verkligen kosta en slant när det händer - för det gör det då och då.

Men kanske underskattar jag riskerna med nät-handel?

Jag fick mitt bankonto tömt på femsiffrigt belopp. Banken upptäckte det innan jag själv gjorde det och jag förlorade inga pengar i slutänden men kunde inte handla som det var tänkt och det var besvär på flera sätt.

Jag vet flera som råkat ut för liknande. Tror inte det skett via internethandel utan skimming e dyl på annat sätt.

 

[ErlandH]

Jag har använt kort på många, enligt banken, olämpliga ställen. Men när jag blev skimmad var det när jag köpte mat på Konsum i Kalmar för tre år sedan.

 

[screamin-daemon]

De skulle visst lösa problemet med nästa större release så även det nya borde i så fall vara lagrat på felaktigt sätt.

Jo men jag syftade ju på alla kunder som har samma lösenord till dustin, komplett, scandinavian photo osv. Hur som helst har Dustin precis sagt att inom 2 dagar ska alla lösenord vara hashat och saltat. Skumt att det kan gå så fort när det kommer fram i media. Felet blev förresten påpekad redan i 2009 men det sket Dustin tydligen i.

 

[AFJ]

Jag fick mitt bankonto tömt på femsiffrigt belopp. Banken upptäckte det innan jag själv gjorde det och jag förlorade inga pengar i slutänden men kunde inte handla som det var tänkt och det var besvär på flera sätt.

Jag vet flera som råkat ut för liknande. Tror inte det skett via internethandel utan skimming e dyl på annat sätt.

Den enda gång som vår familj drabbats var när sambon var i New York och handlade över disk i en liten elektronik shop. Inte nog med att hon blev blåst på priset, kortet "kapades" tydligen för när hon kom hem hörde banken av sig med ett nytt kort.

 

[Mats__o]

Grundregel nummer 1 är att se till att ALDRIG använda samma lösenord på två ställen.

Regel nummer två är att alltid handla på ett kreditkort när man handlar på nätet, aldrig ett betalkort.
Med ett betalkort så är pengarna borta och det är du som blir drabbad under tiden om det är ett bedrägeri, är det en konkurs så är chansen stor att du helt enkelt blir av med pengarna.

Är det ett kreditkort så bestrider man fakturan och innan det går att visa att den är legetim så får inga pengar dras. Vid en konkurs så är det kredidkortsföretagen som får ta smällen.
Rent generellt sett är lagstiftningen runt kreditkort mer fördelaktig för kunden.

När det gäller sånna här program för att komma ihåg lösenord så var noga med att kolla upp just det program du väljer. Vissa av dem har haft en liten extra funktion. Dvs de skickade datat hem till "pappa" också ....

 

[DavidBerg]

...
När det gäller sånna här program för att komma ihåg lösenord så var noga med att kolla upp just det program du väljer. Vissa av dem har haft en liten extra funktion. Dvs de skickade datat hem till "pappa" också ....

Intressant, det är ju precis sånt man oroa sig över när man använder lösenordsprogram men jag har faktiskt inte hört om nåt bekräftat fall. Har du nåt exempel?

 

[BitterMelon]

När det gäller sånna här program för att komma ihåg lösenord så var noga med att kolla upp just det program du väljer. Vissa av dem har haft en liten extra funktion. Dvs de skickade datat hem till "pappa" också ....

Det finns ju program som gör det öppet och ärligt, alltså moln-synkade lösenordshanterare som Lastpass eller Dashlane. Men de krypterar ju (säger de, men man kan ju inte misstro allt och alla jämt) informationen med ditt master-lösenord, så det ska ju vara safe. Väldigt smidigt hursomhelst, speciellt om man använder flera datorer eller mobila enheter.


OT: Håller på och testar både Lastpass och Dashlane för tillfället. Dashlane är klart snyggare av de två, men deras browser-plugins är väldigt instabila. Lastpass funkar så långt bäst.

 

[Mats__o]

Intressant, det är ju precis sånt man oroa sig över när man använder lösenordsprogram men jag har faktiskt inte hört om nåt bekräftat fall. Har du nåt exempel?

Ja delvis i varje fall. Det här är ett antal år sen och en av mina bekanta drev ett litet it-företag på den här tiden. Byggde datorer och hade en generell supporttjänst för hemanvändare och mindre företag. En av bekantingens kunder hade problem med intrång där hans kontouppgifter till diverse internettjänster missbrukades. Kunden hade provat byta lösenord, ändra recovery till annan mailaddress och bytt lösenord igen osv men informationen missbrukades ändå så nu ville han ha hjälp.

Datorn var anständigt uppdatarerad med både antivirus och säkerhetspatachar så det var inte så sannolikt att det var ett virus eller någon form av programvara som samlar tagentbordstryckningar.

För att försöka se vad det var så utbildade jag min bekanting i hur man använder en sniffer (programvara för att spela in och analysera nättrafik).

Beväpnad med den kunskapen och en hel del tålamod så fick han till slut fram bevis för att så fort man bytte lösenord i lösenordsarkivet så anropade datorn en okänd dator ute på internet.

När man testade att byta lösenord "manuellt" och inte skrev in det nya i arkivet så upphörde intrånget och man hade istället ett antal misslyckade inloggningar från datorer som inte var kundens.

Programvaran rapporterades som elak till antivirusleverantören och de klassade den som ohyra efter ett tag så just den programvaran behöver du inte oroa dig för.

Tyvärr minns jag inte vad den hette men det var nått typ super, ultra .. Nått som fick mig att tänka tv-shop ......