Flere virksomheder har for nylig indrømmet at opbevare adgangskoder i almindeligt tekstformat. Det svarer til at gemme en adgangskode i Notesblok og gemme den som en .txt-fil. Adgangskoder bør saltes og hash af sikkerhed, så hvorfor sker det ikke i 2019?
Hvorfor adgangskoder ikke bør gemmes i almindelig tekst
Når en virksomhed gemmer adgangskoder i almindelig tekst, kan alle med adgangskodedatabasen – eller hvilken som helst anden fil adgangskoderne er gemt i – læse dem. Hvis en hacker får adgang til filen, kan de se alle adgangskoderne.
At gemme adgangskoder i almindelig tekst er en frygtelig praksis. Virksomheder bør salte og hash adgangskoder, hvilket er en anden måde at sige “tilføje ekstra data til adgangskoden og derefter scrambling på en måde, der ikke kan omdannes.” Det betyder typisk, at selvom nogen stjæler adgangskoderne ud af en database, er de ubrugelige. Når du logger på, kan virksomheden kontrollere, at din adgangskode stemmer overens med den gemte kodede version – men de kan ikke “arbejde baglæns” fra databasen og bestemme din adgangskode.
Så hvorfor gemmer virksomheder adgangskoder i almindelig tekst? Nogle gange tager virksomhederne desværre ikke sikkerhed seriøst. Eller de vælger at gå på kompromis med sikkerheden i bekvemmelighedens navn. I andre tilfælde gør virksomheden alt rigtigt, når du gemmer din adgangskode. Men de kan tilføje overivrige logningsfunktioner, som registrerer adgangskoder i almindelig tekst.
Flere virksomheder har forkert gemte adgangskoder
Du kan allerede være ramt af dårlig praksis pga Robin Hood, Google, Facebook, GitHub, Twitter og andre gemte adgangskoder i almindelig tekst.
I tilfældet Google hasherede virksomheden og saltede adgangskoder tilstrækkeligt for de fleste brugere. Men G Suite Enterprise-kontoadgangskoder blev gemt i almindelig tekst. Virksomheden sagde, at dette var tilbagestående praksis, fra da det gav domæneadministratorer værktøjer til at gendanne adgangskoder. Hvis Google havde gemt adgangskoderne korrekt, ville det ikke have været muligt. Kun en proces til nulstilling af adgangskode fungerer til gendannelse, når adgangskoder er korrekt gemt.
Når Facebook også tilladt at opbevare adgangskoder i almindelig tekst gav det ikke den nøjagtige årsag til problemet. Men du kan udlede problemet fra en senere opdatering:
…vi opdagede yderligere logfiler over Instagram-adgangskoder, der blev gemt i et læsbart format.
Nogle gange vil en virksomhed gøre alt rigtigt, når de oprindeligt gemmer din adgangskode. Og tilføj derefter nye funktioner, der forårsager problemer. Udover Facebook, Robin Hood, Github, og Twitter ved et uheld loggede almindelige tekstadgangskoder.
Logning er nyttig til at finde problemer i apps, hardware og endda systemkode. Men hvis en virksomhed ikke tester denne logningsevne grundigt, kan den forårsage flere problemer, end den løser.
I tilfældet med Facebook og Robinhood, når brugere opgav deres brugernavn og adgangskode for at logge ind, kunne logfunktionen se og registrere brugernavnene og adgangskoden, efterhånden som de blev indtastet. Det gemte derefter disse logfiler et andet sted. Enhver, der havde adgang til disse logfiler, havde alt, hvad de behøver for at overtage en konto.
I sjældne tilfælde kan en virksomhed som T-Mobile Australia se bort fra vigtigheden af sikkerhed, nogle gange i bekvemmelighedens navn. I en siden slettet Twitter-udveksling, forklarede en T-Mobile-repræsentant til en bruger, at virksomheden gemmer adgangskoder i almindelig tekst. Lagring af adgangskoder på den måde gjorde det muligt for kundeservicemedarbejdere at se de første fire bogstaver i en adgangskode til bekræftelsesformål. Når andre Twitter-brugere passende påpegede, hvor slemt det ville være, hvis nogle