SAS Eurobonusshop hackade

[flygahitochdit]

Intressant utveckling idag.
Så även om det mycket väl kan vara så att mitt lösenord hackats (så jävla klurigt lösen hade jag inte) så är det definitivt inte via mailen.

Det går inte att ha en klurigt lösenord för max antal tecken är 12! Fattar inte varför de har satt en så låg begränsning. Man brukar ju säga att 12-14 är minimum (se här: Password strength - Wikipedia ). SAS har dock satt minimum till maximum...

 

[Håkan Eriksson]

Kunde inte hålla med mer.
Säkerhetsansvariga som inte läst xkcd: Password Strength och då använder Correct Horse Battery Staple | Generate Secure Memorable Passwords borde avskedas

 

[Johan_S]

Det går inte att ha en klurigt lösenord för max antal tecken är 12! Fattar inte varför de har satt en så låg begränsning. Man brukar ju säga att 12-14 är minimum (se här: Password strength - Wikipedia ). SAS har dock satt minimum till maximum...

Som utvecklare blir jag mörkrädd när jag ser att det finns en begränsning på hur långt mitt lösenord får vara. Kan tyda på att lösenordet lagras i klartext.. Men man kan hoppas SAS är smartare än så och att begränsningen är någon gammal kvarleva.

 

[Jönsson]

Som utvecklare blir jag mörkrädd när jag ser att det finns en begränsning på hur långt mitt lösenord får vara. Kan tyda på att lösenordet lagras i klartext.. Men man kan hoppas SAS är smartare än så och att begränsningen är någon gammal kvarleva.

Det är säkert något som ligger kvar från en tidigare version. Tror inte någon utvecklare idag skulle göra ett sådant misstag.

 

[agehall]

Att argumentera om längd på lösenord är helt bortkastat. Säkerhet med enbart lösenord är svag oberoende av längd. Ska man få vettig säkerhet behövs tvåfaktorauthenticering.

 

[mha321]

Att argumentera om längd på lösenord är helt bortkastat. Säkerhet med enbart lösenord är svag oberoende av längd. Ska man få vettig säkerhet behövs tvåfaktorauthenticering.

För de allra flesta system skulle det räcka utmärkt om folk bara lärde sig hantera det och utvecklare slutade hitta på smarta sätt att hindra folk från att hantera det. Tyvärr kräver det första att "gemene man" utbildas I frågan och det andra kräver att utvecklare tänker till innan de hittar på "smarta saker", och inget av det är speciellt sannolikt.

För mer dyrbara saker som tex ff konton som faktiskt har stort monetärt värde gäller naturligtvis 2FA.

Det är säkert något som ligger kvar från en tidigare version. Tror inte någon utvecklare idag skulle göra ett sådant misstag.

Hahaha.. Man kunde verkligen önska att det var så, men tyvärr är det inte så verkligheten ser ut.

 

[Jönsson]

Att argumentera om längd på lösenord är helt bortkastat. Säkerhet med enbart lösenord är svag oberoende av längd. Ska man få vettig säkerhet behövs tvåfaktorauthenticering.

Är det tvåstegsverifiering du är ute efter? Är det verkligen användbart i ett publikt system?

 

[mha321]

Är det tvåstegsverifiering du är ute efter? Är det verkligen användbart i ett publikt system?

Tvåfaktorautentisering är i sig absolut användbart i publika system. Det svåra är customer service och recovery runt det, om man ska få bra värde ur det...

 

[LSH]

Några exempel:
Gmail har frivillig 2FA. När du loggar in på en ny enhet skickas en extrakod som SMS (finns alternativ)
På Skandiabanken har du en lista med engångskoder som du ska knappa in efter att ha verifierat dig med BankId

I båda fallen finns ett lösenord men det ensamt räcker inte för att logga in.

 

[micsjo]

Men man kan hoppas SAS är smartare än så och att begränsningen är någon gammal kvarleva.

Säkert en gammal begränsning av teknisk natur. Första versionerna av Amex inloggning hade max 8 tecken. Jag drog slutsatsen att de hade en gammal version av Oracle som dB i botten eftersom det finns en inbyggd envägshash för att spara lösenord som hade exakt den begränsningen. Meningslöst kort eftersom redan från början var det enkelt att brute force-hacka så korta hashar.