Password

[Bent E.]

Min bank er kommet med en julekalender på nettet, hvor man kan gætte
og vinde et eller andet. Jeg tilmeldte mig.
Ved tilmeldingen skulle jeg opgive min email adr. og et password.
Jeg brugte min normale email adr. og konstruerede et passw. til lejligheden.
Næste dag fik jeg en mail fra banken, hvor de oplyste at min mail adr.
OG PASSWORD er sådan og sådan.
Da jeg skrev passwordet blev det vist som 10 sjerner.
Dvs. at de har afkodet mit password. Det gjorde mig noget urolig, idet
jeg mener at password er strengt personlige, og kun kendes af
vedkommende indehaver.
Er det rigtigt forstået af mig?
I dette tilfælde med en julekalender er det jo uden betydning.
Men når det handler om min bank konto, er det jo en anden sag, og jeg er
da utryg hvis banken kender mit ”rigtige” password.
I bankverdenen er der vel også brådne kar.

Bent E.


P.S.
Jeg har nu fået svar fra banken vedr. min ovenstående bekymring.
De siger at: ”bank engagementer udføres iflg. persondataloven, og der er
derfor ikke grund til bekymring. Vi valgte i forbindelse med
julekalenderen at bekræfte email og password”.
Jeg ville nok alligevel have været utryg hvis jeg af gammel vane havde
brugt mit ”rigtige” password.

["Poul E. Jørgensen"]

Den 25-11-2014 kl. 16:40 skrev Bent E.:
>
> Min bank er kommet med en julekalender på nettet, hvor man kan gætte
> og vinde et eller andet. Jeg tilmeldte mig.
> Ved tilmeldingen skulle jeg opgive min email adr. og et password.

Password til hvad?

--
Fjern Z hvis du svarer pr. e-mail.
Remove the Z if replying by e-mail.

[Michael Haase]

Bent E. skrev den 25-11-2014 kl. 16:40:

> Dvs. at de har afkodet mit password. Det gjorde mig noget urolig, idet
> jeg mener at password er strengt personlige, og kun kendes af
> vedkommende indehaver.
> Er det rigtigt forstået af mig?

Det er vel nærmere kombinationen af brugernavn og password der er
personligt. Derudover vil der vel altid som minimum være én anden part,
der har kendskab til et password. Et eller andet sted skal passwordet
1234 konverteres til værdien 8264ABEFAD2359217492 der gemmes i systemet,
og i indgangen må passwordet vel nødvendigvis være kendt.
Hvis løsningen så er god nok, så skal det ikke være muligt at komme
tilbage til 1234, lige som det er det eneste kodeord som giver den
registrerede værdi

> I dette tilfælde med en julekalender er det jo uden betydning.
> Men når det handler om min bank konto, er det jo en anden sag, og jeg er
> da utryg hvis banken kender mit ”rigtige” password.

Nu er julekalenderen og netbanken højst sandsynligt på to helt separate
systemer; men selv om de skulle være på samme system, så kan de vel ikke
se om det er ens "rigtige" password, og de burde heller ikke kunne
sammenligne dem i systemet, da de 2 ens password forhåbentlig bliver
gemt som 2 forskellige registreringer, så det ene er gemt som
FAFBADBADDAB354FFFAA999, og det andet som 8264ABEFAD2359217492.

--
Michael Haase

[Karl Erik Christensen]

Den 25-11-2014 kl. 23:11 skrev Michael Haase:
> Det er vel nærmere kombinationen af brugernavn og password der er
> personligt. Derudover vil der vel altid som minimum være én anden part,
> der har kendskab til et password. Et eller andet sted skal passwordet
> 1234 konverteres til værdien 8264ABEFAD2359217492 der gemmes i systemet,
> og i indgangen må passwordet vel nødvendigvis være kendt.

Det er ikke rigtigt.
Hvis du MD5 krypterer kan der laves noget i retning af det du skriver.
Men MD5 bruges garanteret ikke i bankverdenen (måske i Vridsløselille
bank :-) ).

Du kan fx. SHA kryptere, hvilket er langt mere sikkert end MD5.

SHA kryptering laves ved at mikse password med et "salt".
"salt" kan være en tilfældigt genereret værdi, og ingen kan dekryptere
det miksede resultat.
Nogle påstår at SHA kan dekrypteres - hvis man har nogle 1000'sinde
superprocessorer til rådighed :-)

Derfor - hvis password glemmes tilsendes et nyt, som brugeren ændrer,
for ingen kan finde det SHA krypterede password.

Karl Erik.

[Bent E.]

Tak for jeres input.
Selv om jeg ikke er expert i kryptering, er jeg enig med Karl Erik i
at mit password kun findes et sted; og det er mellem mine ører (hvis jeg
i øvrigt opfører mig fornuftigt).
At en julekalender så spørger efter et password, er lidt pjattet.
I sådanne tilfælde er det nok en god ide at bruge et passw. (1234) til
formålet.

Bent E.

[Roderiet]

Goddag

"Bent E." skrev i meddelelsen
news:5474a2f2$0$300$1472...@news.sunsite.dk...

Min bank er kommet med en julekalender på nettet, hvor man kan gætte
og vinde et eller andet. Jeg tilmeldte mig.
Ved tilmeldingen skulle jeg opgive min email adr. og et password.

Hvis du er den eneste som kender dit password, hvad/hvem skal så bruge det
til kontrol ?.
At du på din skærm ser 10 stjerner betyder jo ikke at at de tegn du har
anvendt ikke er "set af andre i den anden ende "
Se fx til nem-id cpr og password genkendes og du får servret et tal
som du finder på dit nøglekort og sender tallet fra kortet. Altså er der
i den anden ende altid nogen/noget som checker din kode inden du lukkes ind.
Hvordan man maskerer sin meddelelse ( krypterer ) er velsagtens kun
gældende for transporten , ikke for kontrollen. mvh Niels F.

[Karl Erik Christensen]

Den 27-11-2014 kl. 01:05 skrev Roderiet:
> Altså er der i den anden ende altid nogen/noget som checker din kode
> inden du lukkes ind.

Dette "noget" behøver ikke kende passwordet for at checke det.
"Noget" ser kun en række af tal og bogstaver, typisk op til 64 tegn
eller flere.
Det er sammenligning af disse tegn, der afgør om passwordet er korrekt
eller forkert.

Karl Erik.

[Klaus H]

Du er da nødt til at have en reference, for at kunne sammenligne.

Mvh

Klaus H

"Karl Erik Christensen" skrev i meddelelsen
news:m55si2$987$1...@dont-email.me...

[Karl Erik Christensen]

Den 27-11-2014 kl. 07:38 skrev Klaus H:
> Du er da nødt til at have en reference, for at kunne sammenligne.
>
> Mvh
>
> Klaus H

Godt set :-)

De rigtige tegn blev gemt da passwordet blev oprettet.
Derfor behøver passwordet ikke at være kendt.

http://da.wikipedia.org/wiki/SHA

SHA er udviklet af NSA - sååeee :-)

Karl Erik.

[runeof...@gmail.com]

Den tirsdag den 25. november 2014 23.12.01 UTC+1 skrev Michael Haase:

> personligt. Derudover vil der vel altid som minimum være én anden part,
> der har kendskab til et password. Et eller andet sted skal passwordet
> 1234 konverteres til værdien 8264ABEFAD2359217492 der gemmes i systemet,
> og i indgangen må passwordet vel nødvendigvis være kendt.

Ikke nødvendigvist, hvis det bliver énvejskrypteret på klienten.

Det har så den bagdel, at det heller ikke kan genskabes, så hvis du glemmer det,
er det bare bad luck.

Det kræver så også et rent klient-program før det kan virke 100%.

Min cloud-udbyder kører med det setup, jeg har en JAVA-klient til at styre det
(hvilket så ikke er lige min smag, men hva).

De skriver også ganske klart "Vi har ingen glemt password-funktion".


MVH
Rune

[Karl Erik Christensen]

Den 30-11-2014 kl. 16:02 skrev runeof...@gmail.com:
> Min cloud-udbyder kører med det setup

Hva' fanden Rune - Har du ikke forsværget at du aldrig nogensinde ville
ha' noget til at ligge i skyen?
Har du genvundet tilliden til NSA? :-)

Karl Erik.

[runeof...@gmail.com]

Jeg er jo nødt til at have en backupløsning.

Hvis de kan bryde klientbaseret kryptering, synes jeg ærligt de har fortjent
at kunne rode i alle mine Linux screenshots og gamle ASP-koder så meget de
lyster.


MVH
Rune