Hogeschool Vives: wijzigen 17.000 wachtwoorden kost meer tijd dan gedacht

Door Anoniem: Ik snap niet dat ze moeten helpen. Je maakt een nieuwe kolom in de database, staat daar niets in bij het account bij aanmelden toon je een pagina om een nieuw wachtwoord in te stellen, eenmaal dat gedaan zet je iets in de nieuwe kolom en tada, iedereen moet hun wachtwoord resetten bij het aanmelden. Stuur een mail naar iedereen dat ze moeten aanmelden en je bent klaar.

Als ik je goed begrijp (je Nederlands is voor verbetering vatbaar) stel je voor een kolom aan de wachtwoordendatabase toe te voegen die een indicatie bevat of bij de volgende login een wachtwoordreset nodig is. Ik zie daarbij twee mogelijkheden voor het wachtwoordresetscherm:

1. Naast de userid moeten zowel het oude als het nieuwe wachtwoord worden ingevuld. Het probleem daarmee is dat een wachtwoordreset voor iedereen impliceert dat ze aannemen dat de oude wachtwoorden gecompromitteerd kunnen zijn. Dat betekent dat de aanvaller de oude wachtwoorden kan hebben. Die kan dan via dit wachtwoordresetscherm de account van elke leerling overnemen. Oeps, dat wil je niet.

Daarom worden in dit soort gevallen alle wachtwoorden in een klap gereset en kan het wachtwoordresetscherm niet meer het oude wachtwoord controleren, want dat is gereset. Dat leidt tot de andere mogelijkheid:

2. De userid en het nieuwe wachtwoord moeten worden ingevuld. Nu kan niet alleen de aanvaller maar iedereen elke account waarvan ze de userid weten overnemen via het resetscherm. Oeps, dat wil je ook niet.

Daarom zie je dat men niet met die extra kolom werkt maar typisch een “wachtwoord vergeten”-dialoog heeft die, indien erkop geklikt wordt, leidt tot een e-mail naar de gebruiker (de leerling), met een wachtwoord-reset-link erin, die naar een scherm leidt waarop het nieuwe wachtwoord ingevuld kan worden. Omdat de link een uitgebreide random waarde bevat kan die alleen worden opgeroepen door degenen die de e-mail kunnen lezen. Dat is nog niet volledig waterdicht, maar zo’n opzet zet de sluizen niet open op de manier waarop jouw benadering, als ik die goed heb begrepen, dat doet.

Het zit er dik in dat het systeem een opzet als deze heeft, en dan is de constatering kennelijk dat onder die 17.000 leerlingen er te veel zijn die zoiets niet zonder hulp van de helpdesk kunnen.

Bron: Security.nl

Geef een antwoord

Het e-mailadres wordt niet gepubliceerd.

12Privacy.nl