Viktigt! Lösenordsstöld från Prisjakt/Minhembio
Postad 17 februari 2009 - 10:12
Vilken database hanterar använder ni?
Har ni bytt krypteringsalgoritm?
/Daniel
Postad 17 februari 2009 - 10:14
Hur tar man bort sitt konto helt här?
man anmäler sig till staff
//CG-47
Postad 17 februari 2009 - 10:19
Det är ganska vanligt att folk har samma lösenord på sjuttiofemton sajter.Man kan ju undra, vad ska hackern göra? Skriva arga inlägg i våra namn?
![]()
Lite menlöst att sno lösenord här, det kanske bara är ett exjobb på FRA?
Ponera att en användare har samma lösenord på sitt hotmail-konto (vilket säkert är fallet hos minst 80% av användarna med hotmail-konto), det första man kan göra då är att besöka den och leta lite där efter mail med lösenord eller annan kontoinfo till andra kul sajter (facebook, linkedin, jobbet). Även om man inte hittar lösenord så har de flesta sajter en möjlighet att få ett nytt lösenord mailat till sig, då är det bara att beställa ett nytt och logga in på mailkontot för att se resultatet. Beroende på vad du hittar kan du göra livet lite halvtrist för den utsatta om du är lagd åt det hållet.
Naturligtvis kan man säga att man inte ska ha samma lösenord på fler ställen men det är tyvärr allt för vanligt att folk bortser från att sånt här kan hända eftersom de resonerar som du gjorde ovan.
All cred till prisjakt/minhembio som faktiskt verkar ha gjort helt rätt, både när det gäller förebyggande åtgärder och framförallt genom att inte mörka informationen tills pressen berättade för dem att det fanns lösenordslistor på flashback. Bra gjort!
Redigerat av fhe, 17 februari 2009 - 10:20.
Postad 17 februari 2009 - 10:20
Att ett lösenord till ett adminkonto kommit ut är självklart mycket dåligt, och vi försöker ta reda på vad som hänt. Det pekar mot att en dator inom bekantskapskretsen blivit utrustad med en sk. keylogger men närmare än så vet vi inte idag.
Åter igen ber vi 1000 gånger om ursäkt men är av åsikten att det är bättre att vi informerar än att lösenorden skall dyka upp ett efter ett på något suspekt forum.
Kommer ersättning för sveda och värk pga ert fatala misstag utgå till de berörda?
Samt kommer "dator inom bekantskapskretsen" att uppgraderas med någon form av brandvägg/anti-virus suit efter detta?
Kommer administratörerna att få adekvat utbildning inom IT-säkerhet?
Vem är ansvarig för säkerhetsbristen, kodknackaren, i forumet-koden som gjorde det möjligt att kopiera alla lösenord eller var det den som skrev specifikationen för forumkoden? Jobbar de kvar idag? Svar i form: kodknackaren/specansvarig räcker dugligen.
Postad 17 februari 2009 - 10:21
Postad 17 februari 2009 - 10:22
Det är skönt att höra att ni är en av få siter som faktiskt tar sitt ansvar och hashar sina lösenord. Ni som har samma lösenord på flera siter får nog räkna med att era lösenord ligger fullt synliga på större delen av de siterna, kan ni få tillbaka era lösenord så kan ni också konstatera att de inte är hashade.
Lösenorden borde egentligen inte vara möjliga att komma åt merän med direkt databas access vilket det troligen rör sig om i detta fallet. I sådana fall finns det inte mycket mer att göra än att försöka bygga ut funktionaliteten på siten/applikationen så att allt mindre av medarbetarna behöver ha direkt access till databasen.
Postad 17 februari 2009 - 10:27
Kommer ersättning för sveda och värk pga ert fatala misstag utgå till de berörda?
Samt kommer "dator inom bekantskapskretsen" att uppgraderas med någon form av brandvägg/anti-virus suit efter detta?
Kommer administratörerna att få adekvat utbildning inom IT-säkerhet?
Vem är ansvarig för säkerhetsbristen, kodknackaren, i forumet-koden som gjorde det möjligt att kopiera alla lösenord eller var det den som skrev specifikationen för forumkoden? Jobbar de kvar idag? Svar i form: kodknackaren/specansvarig räcker dugligen.
vad är det du vill ha ersättning för?...dom har ju gjort sitt med råge.?
tror du behöver ta reda på lite mer info om sajten..med tanke på din tid här..
//CG-47
Redigerat av Unregistered1113, 17 februari 2009 - 10:30.
Postad 17 februari 2009 - 10:35
Hoppas att man klarade sig undan.
Tack till staff för bra info!
Postad 17 februari 2009 - 10:45
Kommer ersättning för sveda och värk pga ert fatala misstag utgå till de berörda?
Samt kommer "dator inom bekantskapskretsen" att uppgraderas med någon form av brandvägg/anti-virus suit efter detta?
Kommer administratörerna att få adekvat utbildning inom IT-säkerhet?
Vem är ansvarig för säkerhetsbristen, kodknackaren, i forumet-koden som gjorde det möjligt att kopiera alla lösenord eller var det den som skrev specifikationen för forumkoden? Jobbar de kvar idag? Svar i form: kodknackaren/specansvarig räcker dugligen.
*raderat av Moderator pga regelbrott*
Creds till er på Minhembio/Prisjakt för att ni går ut med detta.
Redigerat av dirtpop, 17 februari 2009 - 15:43.
Postad 17 februari 2009 - 10:47
Kommer ersättning för sveda och värk pga ert fatala misstag utgå till de berörda?
Ja du, tror att dom som minst kommer ge alla användare här 10.000 riksdaler. kanske även en guldklocka (klockan är jag osäker på, men om vi alla håller tummarna för det så kan det nog hjälpa till endel)
Postad 17 februari 2009 - 10:54
Skit i det lätt att vara efterklok skadan är skedd liksom.
Den stora frågan är VARFÖR SKICKAR NI INTE UT MEJL TILL ALLA ANVÄNDARE? Alla är inte inne varje dag.
Postad 17 februari 2009 - 11:03
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/sad.png)
Postad 17 februari 2009 - 11:10
Var tacksamma istället för att informationen kommer ut och att man själv blir lite mer försiktig i framtiden genom att göra svårare lösenord, och inte bara här utan på alla andra ställen man har lösenord till.
Postad 17 februari 2009 - 11:10
har bytt lösenord på dom viktiga ställena hur viktigt är det att göra det på olika forum och sidor som t ex demonoid
Postad 17 februari 2009 - 11:19
Beror väll på, enligt Prisjakt fick de även med sig epost adresserna, så har man samma lösen för att logga in på sin e-mail bör man ändra den också.hej
har bytt lösenord på dom viktiga ställena hur viktigt är det att göra det på olika forum och sidor som t ex demonoid
Postad 17 februari 2009 - 11:21
Postad 17 februari 2009 - 11:27
Den stora frågan är VARFÖR SKICKAR NI INTE UT MEJL TILL ALLA ANVÄNDARE? Alla är inte inne varje dag.
Jag fick det på mailen. Men du kanske har en Hotmail eller nått annat och då kanske det kommer in i skäplådan så du inte såg det!??
Postad 17 februari 2009 - 11:35
Måste tyvärr hålla med... Hur fräcka system med kryptering och saltning så kan man ju inte skydda sig om man slarvar med "huvydnyckeln".
Hur ofta byter ni lösen på admin och hur "svåra" lösenord måste man ha?
(missförstå mig rätt. Ni gör ett fantastiskt jobb och bara för en dörr är "upplåst" är det ändå inte tillåtet att gå in så det är ju hackaren som gjort fel)
Antar att ni admins kommer att ändra era rutiner efter detta?
Just i det här fallet har det nog varit en keylogger och att ens byta lösen en gång i månaden gör tyvärr inte så mycket. Skall man se något positivt i det hela har både vi och användarna lärt sig en viktig läxa.
Postad 17 februari 2009 - 11:38
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/sad.png)
blir till att byta lösen precis NU !!!
![:rolleyes:](https://www.minhembio.com/forum/public/style_emoticons/default/ph34r.png)
Nu va det nytt lösen
![:P](https://www.minhembio.com/forum/public/style_emoticons/default/biggrin.png)
Redigerat av DVD-ai, 17 februari 2009 - 11:41.
Postad 17 februari 2009 - 11:46
Jag antar att krypteringen sker i databasen, eller?
Vilken database hanterar använder ni?
Har ni bytt krypteringsalgoritm?
/Daniel
Nej, krypteringen sker innan något lagras i databasen. Det tillämpas en teknik som kallas hashning+saltning. Den går ut på att man gör en så kallad envägskryptering. Det innebär att man inte kan med dekryptera innehållet utan måste prova alla kombinationer för att se ifall de genererar samma hash-kod. När man t.ex. loggar in körs den här algoritmen på det du matar in och resultatet jämförs med det som ligger lagrat i databasen. Bara hashning skulle innebära att alla som hade exakt samma lösenord skulle få en likadan lagring i databasen. D.v.s. knäckte man en så knäckte man flera stycken på en gång samtidigt som man för varje kombination man kör algoritmen på kan kolla ifall det stämmer med någons lagrade värde.
För att göra det hela ytterligare lite svårare tillämpas något som kallas saltning. D.v.s. en slumpmässig kod registreras med ditt konto. Hash-algoritmen räknar ut en ny hash-kod baserat på både ditt lösenord och den här slumpmässiga koden. Det gör att folk med likadana lösenord ändå får olika hash-koder. Således måste man göra hela lösenordsknäckarproceduren en gång per konto istället för en gång för allihopa.
Dagens datorer är dock så snabba att man väldigt snabbt kan prova sig fram ett stort antal kombinationer på kort tid. Korta lösenord knäcks därför relativt snabbt. Om den som försöker knäcka lösenordet utgår från att alla bara använder sig av t.ex. små bokstäver kan man snabbt testa igenom alla kombinationer av inte för långa lösenord.
Ett långt lösenord bestående av en blandning av bokstäver (stora och små), siffror och andra tecken är dock väldigt säkert.
Postad 17 februari 2009 - 11:50
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/laugh.png)
Postad 17 februari 2009 - 11:53
Behöver hjälp att komma på något bra o säkert lösen.någon som använder något bra lösen, som är svårt att knäcka .Och som vill dela med sig.
Haha mitt e HardCore...
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/wink.png)
Ne men det e ju inte svårt att hitta på lösen
![:rolleyes:](https://www.minhembio.com/forum/public/style_emoticons/default/tongue.png)
bara ta någon lustik kombination av Ajr746KRysQ0 eller så typ, då blir det lite klurigt att lösa ut den
![:D](https://www.minhembio.com/forum/public/style_emoticons/default/cool.png)
bara att skriva ner på en lapp och ha någonstans om du skulle glömma den, men det gör man inte, se till att memmorera den bara !
Redigerat av DVD-ai, 17 februari 2009 - 11:56.
Postad 17 februari 2009 - 11:53
Behöver hjälp att komma på något bra o säkert lösen.någon som använder något bra lösen, som är svårt att knäcka .Och som vill dela med sig.
Blanda bokstäver med siffror är ett hett tips. Vanliga ord är rätt värdelöst då de flesta programmen man använder vid "attacker" knäcker dom flesta på några sekunder alt minuter.
Redigerat av Eps, 17 februari 2009 - 11:54.
Postad 17 februari 2009 - 11:55
Ytterst får det väl anses att jag är ansvarig för säkerheten. Nu har jag skrivit motorn för hela Prisjakts prishanteringssystem, innan vi blev fler var det i stort sett jag som programmerade allt på Prisjakt och Minhembio (nu är vi några till). Jag jobbar långt över 40 timmar i veckan också så jag hoppas att Prisjakt vill behålla mig.
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/wink.png)
Kommer ersättning för sveda och värk pga ert fatala misstag utgå till de berörda?
Samt kommer "dator inom bekantskapskretsen" att uppgraderas med någon form av brandvägg/anti-virus suit efter detta?
Kommer administratörerna att få adekvat utbildning inom IT-säkerhet?
Vem är ansvarig för säkerhetsbristen, kodknackaren, i forumet-koden som gjorde det möjligt att kopiera alla lösenord eller var det den som skrev specifikationen för forumkoden? Jobbar de kvar idag? Svar i form: kodknackaren/specansvarig räcker dugligen.
Postad 17 februari 2009 - 12:00
Postad 17 februari 2009 - 12:01
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/wink.png)
Jag misstänker att ni har en hel del medarbetare och sådant som detta kommer för eller senare att inträffa tyvärr.
Det är skönt att höra att ni är en av få siter som faktiskt tar sitt ansvar och hashar sina lösenord. Ni som har samma lösenord på flera siter får nog räkna med att era lösenord ligger fullt synliga på större delen av de siterna, kan ni få tillbaka era lösenord så kan ni också konstatera att de inte är hashade.
Lösenorden borde egentligen inte vara möjliga att komma åt merän med direkt databas access vilket det troligen rör sig om i detta fallet. I sådana fall finns det inte mycket mer att göra än att försöka bygga ut funktionaliteten på siten/applikationen så att allt mindre av medarbetarna behöver ha direkt access till databasen.
Postad 17 februari 2009 - 12:06
Vad gör man om e-postadressen som man är registrerad med inte finns längre? Jag har provat att byta adressen i kontrollpanelen, men får bara svaret att de nya redan finns i systemet. Jag har provat med två olika adresser.
Kontakta support(at)prisjakt(dot)nu så får du hjälp. Skicka med så mycket uppgifter du känner till.
Postad 17 februari 2009 - 12:06
Postad 17 februari 2009 - 12:12
###### klantskallar, byta lösenord oftare.
Skit i det lätt att vara efterklok skadan är skedd liksom.
Den stora frågan är VARFÖR SKICKAR NI INTE UT MEJL TILL ALLA ANVÄNDARE? Alla är inte inne varje dag.
Postad 17 februari 2009 - 12:12
Postad 17 februari 2009 - 12:29
Men är de någon som vet ett bra program som kommer ihåg alla ens lösenord man har till diverse hemsidor? De är ju nästintill omöjligt att ha runt 10 olika lösenord som har över 15 tecken i huvudet! Vore skönt om de fanns ett krypterat program för sådant så man bara behöver komma ihåg ett lösenord för att få fram alla lösenord man har. Då ska de gärna vara ett seriöst program från en seriös sida, så att man inte blir hackad av själva programmet så att säga.
Jag kör med Opera som webbläsare och den har en alldeles utmärkt "lösenordshanterare" som kommer ihåg både användarid och lösenord
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/smile.png)
Postad 17 februari 2009 - 12:29
Läste nyss mejlet och trodde inte de var sant! De finns ju knappast någon viktig information att hämta här? Eller är de något stort företag som går back nu och ska ändra lite i Prisjakt? Aja hur som helst så kommer jag att byta lösenord. Men är de någon som vet ett bra program som kommer ihåg alla ens lösenord man har till diverse hemsidor? De är ju nästintill omöjligt att ha runt 10 olika lösenord som har över 15 tecken i huvudet! Vore skönt om de fanns ett krypterat program för sådant så man bara behöver komma ihåg ett lösenord för att få fram alla lösenord man har. Då ska de gärna vara ett seriöst program från en seriös sida, så att man inte blir hackad av själva programmet så att säga.
Firefox lösenordshanterare fungerar ju väldigt bra tycker jag. Antar att den är skapligt säker också.
Postad 17 februari 2009 - 12:34
Säg nej till knark!
Förövrigt har jag bytt mitt lösenord, så ingen jävel skriver dumma inlägg i mitt namn!
Redigerat av JockeJ, 17 februari 2009 - 12:34.
Postad 17 februari 2009 - 12:35
Postad 17 februari 2009 - 12:37
Om du kör firefox, ta en titt på Password HasherLäste nyss mejlet och trodde inte de var sant! De finns ju knappast någon viktig information att hämta här? Eller är de något stort företag som går back nu och ska ändra lite i Prisjakt? Aja hur som helst så kommer jag att byta lösenord. Men är de någon som vet ett bra program som kommer ihåg alla ens lösenord man har till diverse hemsidor? De är ju nästintill omöjligt att ha runt 10 olika lösenord som har över 15 tecken i huvudet! Vore skönt om de fanns ett krypterat program för sådant så man bara behöver komma ihåg ett lösenord för att få fram alla lösenord man har. Då ska de gärna vara ett seriöst program från en seriös sida, så att man inte blir hackad av själva programmet så att säga.
https://addons.mozil...efox/addon/3282
How Password Hasher helps:
* Automatically generates strong passwords.
* One master key produces different passwords at many sites.
* Quickly upgrade passwords by "bumping" the site tag.
* Upgrade a master key without updating all sites at once.
* Supports different length passwords.
* Supports special requirements, such as digits and punctuation.
* Supports restricting a hash word to not use special characters. (New!)
* Saves all data to the browser's secure password database.
* Generates a portable HTML page with your site tags and option settings that allows you to generate your hash words in any browser on any machine without the extension installed. (New!)
* Can add marker buttons to unmask passwords on any web site. (New!)
* Extremely simple to use!
Postad 17 februari 2009 - 12:38
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/tongue.png)
Postad 17 februari 2009 - 12:56
Sorry för OT men som vanligt är Aftonblaskans hemsida full med popupfönster, reklambanners och annat skit som gör att det tar en hel evighet att öppna sidan...Nu stod det i Aftonbladet på första sidan om detta som hänt med Prisjakt.
Aftonbladet - prisjakt
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/mad.gif)
Postad 17 februari 2009 - 13:09
Sorry för OT men som vanligt är Aftonblaskans hemsida full med popupfönster, reklambanners och annat skit som gör att det tar en hel evighet att öppna sidan...
Du kan inte ha ett roligt blodtryck om du förbannas över reklam och surfar på internet. En dos firefox + adblockplus ordineras omgående! Sköljes med vatten
Postad 17 februari 2009 - 13:09
Dessutom kan det här hända de flesta sajter idag, det är väl någon nolla som bestämt sig för att de skulle imponera på någon. Jag gissar att gänget på Flashback sitter och göttar sig i detta nu.
Postad 17 februari 2009 - 13:11
Du behöver inte läsa det ifall du inte vill, var mer menat som allmän information.Sorry för OT men som vanligt är Aftonblaskans hemsida full med popupfönster, reklambanners och annat skit som gör att det tar en hel evighet att öppna sidan...
För mig tar det ungefär 2-3 sek att ladda sidan.
Postad 17 februari 2009 - 13:15
sen skriver man upp lösenet på en postit lapp och sätter den brevid tangentbordet, eller så skaffar man firefox så man kan ha så lösenordet sparas på sidan, så man slipper skriva in sitt användar namn + lösenord.
Redigerat av Unregisteredd51b7e75, 17 februari 2009 - 13:53.
Postad 17 februari 2009 - 13:16
Du kan inte ha ett roligt blodtryck om du förbannas över reklam och surfar på internet. En dos firefox + adblockplus ordineras omgående! Sköljes med vatten
Man tackar, kan meddela att det inte är så alvarligt som det låter
![:)](https://www.minhembio.com/forum/public/style_emoticons/default/biggrin.png)
Postad 17 februari 2009 - 13:18
0 användare läser detta ämne
0 medlemmar, 0 gäster, 0 anonyma medlemmar