post on aquaforum

[QUOTE]Oorspronkelijk geplaatst door luc:
[QB] Alles is nu gecontroleerd en veilig bevonden, helaas was er al wat gedaan voor wij het wisten en actie konden ondernemen.
Nu is alles weer gewoon veilig en vanouds  :) [/QB][/QUOTE]

Als je de functie "wachtwoord vergeten" gebruikt, en je eigen e-mailadres invult krijg je gewoon een mailtje met daarin je wachtwoord! Deze wordt in plain-tekst opgeslagen en is door iedereen die toegang heeft tot de database zo te lezen. (NB. toegang tot de database is wezenlijk wat anders dan het beheer van het forum)

Helemaal veilig is het dus niet, maar zolang er geen onbevoegden toegang hebben tot de database is er geen reden tot paniek.
Wel is het zo dat de beheerder van de database dus alle wachtwoorden kan lezen, ze worden namelijk niet gehasht. Anders kunnen ze nooit in plain tekst  ge-emailt worden.

Dan ziet je wachtwoord er in de database bijvoorbeeld zo uit:
email | password
[email protected] | 371620aa75830b1388b63305b0d42f06

als zijn wachtwoord "welkom" was (probeer hier maar: http://www.miraclesalad.com/webtools/md5.php)

Als er dan toegang verkregen wordt tot de database hebben ze er niet direct iets aan. Je kan niet 1.2.3. van hash teruggenereren naar wachtwoord. Hoe veilig het precies is hangt van de gebruikte methode af, maar momenteel gebeurd hier dus helemaal niks mee op dit forum!

Ik wil geen paniek zaaien of onrust veroorzaken, maar dat de beheerders bewust worden van het risico en de eventuele gevolgen! Je hoort dagelijks dat websites gehackt worden en ik zie het liefst vandaag nog dat de wachtwoorden op een veiligere manier worden opgeslagen, juist in dat geval dat de website gehackt wordt, de wachtwoorden van alle leden niet open en bloot op straat liggen!

voor nu kan ik iig alle leden aanraden om voor deze site een uniek wachtwoord te gebruiken, zodat ze niet bij je andere accounts kunnen in geval van een hack! (dat is sowieso altijd aan te raden voor elke site ;-))