Bekijk Volledige Versie : nieuw wachtwoord SIDN
Ik weet niet of het jullie al is opgevallen, kennelijk nog niet want ik las er hier nog niets over. Toen ik net weer eens op de deelnemerssite van SIDN was las ik dat ze nieuwe wachtwoorden gaan uitgeven. Per vanavond 18.00 moet iedereen een nieuw wachtwoord hebben. Beetje vreemde gang van zaken niet? Jullie zijn bij deze gewaarschuwd mocht SIDN dit nalaten. Ik heb er in ieder geval nog geen e-mail over gehad...
Ik heb wel zojuist een mailtje van het SIDN ontvangen met de vraag mijn wachtwoord te wijzigen. Braaf gedaan, maar vind het maar een vreemde gang van zaken!
Wel mail over gehad, nogal kort van te voren vind ik het.
Was waarschijnlijk nogal een behoorlijk risico.
Erikcreative
25/04/07, 11:28
Email hier ook net gehad... Duister verhaal
/me mompelt iets over veiligheidslek...
/me mompelt iets over veiligheidslek...
Net ook via de deelnemerssite nieuw wachtwoord laten maken...
Vindt het een beetje een vage gang van zaken maar goed...morgen om 12:00 krijgen we de reden te horen.
Zal dus wel een kritiek lekje zijn :)
Ook maar gedaan, wil morgen toch nog wel domeinen registreren :P
Maar vind het ook een rare gang van zaken, en hier geen mail over gehad.
Erg vaag, en verontrustend, weer, dit had dus goed fout kunnen gaan allemaal :(
Zie ook webwereld (http://www.webwereld.nl/articles/46127/sidn-wijzigt-preventief-wachtwoorden-registrars.html)
En Security.nl (http://www.security.nl/article/15943/1/SIDN_wijzigt_preventief_alle_registrar_wachtwoorde n.html)
Dennie-DeTi
25/04/07, 13:09
Hier wel een mail gehad.
- Dennie
Hier ook, om 10:00, gelijk maar nieuwe wachtwoord aangevraagd. Heb intussen al meerdere conculega's gesproken die er niets van gehoord hadden, maar ook anderen die wel ook e-mail gehad hebben.
Ik denk dat een hoop deelnemers die het registratiesysteem hebben geautomatiseerd, het mailtje niet zullen zien, aangezien dat naar hetzelfde mail adres is gestuurd als de replies van het registratiesysteem, dit zal bij zulke deelnemers dus waarschijnlijk niet snel gezien worden :o
Ben benieuwd hoeveel deelnemers er morgen een probleem hebben door deze "fijne actie".
Maar ja... we horen morgen wel wat het probleem nou was, hopelijk heeft de SIDN er wel gelijk een goede oplossing voor, want als dit vaker gaat gebeuren dan wordt het minder prettig :-)
Heb in onze notify emailbox gekeken waar alles van SIDN terecht komt.. maar toch echt geen mail...
Slechte zaak.. als ik vandaag geen wht had gelezen.. had ik vanaf vanavond een probleem gehad dus.
Heb in onze notify emailbox gekeken waar alles van SIDN terecht komt.. maar toch echt geen mail...
Slechte zaak.. als ik vandaag geen wht had gelezen.. had ik vanaf vanavond een probleem gehad dus.
Hier hetzelfde.....
Toch maar eens gaan vragen hoe dat kan
De volledige email:
SIDN verstrekt preventief nieuwe wachtwoorden
Beste relatie,
Hierbij informeren wij u over het volgende. SIDN verstrekt vandaag haar deelnemers nieuwe wachtwoorden om toegang te krijgen tot DRS4 en de deelnemerssite. U kunt uw nieuwe wachtwoord ophalen via https://deelnemer.sidn.nl/nieuwwachtwoord. Tot 17.00 uur kunt u nog met uw huidige wachtwoord aanvragen indienen. Tussen 17.00 en 18.00 uur activeren we alle nieuwe wachtwoorden tijdens een onderhoudsvenster. Aanvragen die u doet vóór dit onderhoudsvenster worden verwerkt. Tijdens het onderhoud is het niet mogelijk uw aanvragen aan te bieden. Na het onderhoudsvenster dient u met uw nieuwe wachtwoord in te loggen op de applicatie om uw aanvragen te doen.
Waarom verstrekt SIDN nieuwe wachtwoorden?
De noodzaak om u een nieuw wachtwoord te verstrekken is urgent. SIDN heeft indicaties ontvangen dat er een mogelijk beveiligingsrisico bestaat. Om dit risico tot een minimum te beperken verstrekken we u preventief nieuwe wachtwoorden. We begrijpen dat dit ook voor u consequenties heeft en dat u op korte termijn aanpassingen moet doen, vooral als u geautomatiseerd gebruik maakt van onze systemen. Gezien de omstandigheden kan SIDN u hiervoor niet ruimschoots de tijd geven. Ook kunnen we op dit moment geen gedetailleerde informatie vrijgeven, omdat we hiermee het risico vergroten. We vragen dan ook om uw begrip en medewerking. Na het verstrekken van de nieuwe wachtwoorden zal SIDN u nader informeren en aangeven welke maatregelen we hebben genomen. Dit zal gebeuren op donderdag 26 april, om 12:00 uur.
Hoe worden deze wachtwoorden verstrekt?
Om uw nieuwe wachtwoord te verkrijgen gaat u naar https://deelnemer.sidn.nl/nieuwwachtwoord. Dit is een onderdeel van de deelnemersite. Hier geeft u uw gebruikersnaam in (dsu + deelnemernummer); uw huidige wachtwoord (dat u voor DRS4 gebruikte) en uw notify emailadres. U ontvangt dan op het scherm uw nieuwe wachtwoord waarmee u toegang heeft tot en de deelnemerssite. Let op! Dit wachtwoord wordt eenmalig op deze wijze verstrekt.
Het notify emailadres is het emailadres waar alle communicatie vanuit DRS4 over domeinnaam aanvragen naartoe gaat, zoals bijvoorbeeld ticketnummers en interactiecodes. Dit emailadres is ingericht om notificaties vanuit het systeem af te leveren. Het is dus van belang dat het gaat om een werkend emailadres. We raden u af uw notify e-mailadres vandaag te wijzigen, omdat uw huidige notify e-mailadres nodig is voor het verkrijgen van uw nieuwe wachtwoord.
Verdere vragen?
We vertrouwen erop u via deze weg te hebben geïnformeerd over de verstrekking van nieuwe wachtwoorden. Op onze deelnemerssite (https://deelnemer.sidn.nl) informeren wij u ook over dit onderhoudsvenster. Tevens vindt u daar een overzicht van de meest gestelde vragen + antwoorden. Mocht u vragen hebben over dit onderhoudsvenster dan kunt u met ons contact opnemen via de Service Unit per e-mail support@sidn.nl, of telefonisch 026 352 55 55. Woensdag 25 april zal onze helpdesk hiervoor langer geopend zijn: tot 19:00 uur. Donderdag 26 april, om 12:00 uur, informeren wij u verder per e-mail en op onze deelnemerssite.
----
Dear registrar,
We are writing to update you regarding a number of important matters. SIDN is issuing its registrars with new passwords for accessing DRS4 and the registrar website. The DRS4 application will be switched over to work with the new passwords today, Wednesday 25 April, between 5pm and 6pm CET.
After this maintenance window, you will need your new password to log on to the application and to continue submitting registration applications and so forth. Applications and requests submitted before the maintenance window will be processed as usual. During the window, it will not be possible to submit applications or requests.
Why is SIDN issuing new passwords?
It is very important that all our registrars' passwords are changed as a matter of urgency. SIDN has received indications that a potential security risk exists. To minimise this risk, we are taking the precaution of issuing new passwords. We appreciate that this has implications for you, insofar as you will need to switch to using the new password at short notice. If your systems interact with our own on an automated basis, that will mean making changes to your set-up. However, under the circumstances, delay simply wasn't an option. Unfortunately, we cannot presently disclose the precise nature of the security risk, because to put that information into the public domain would have the effect of increasing the danger. For the time being, therefore, we must simply ask for your understanding and cooperation. Once all our registrars have been issued with new passwords, we will explain why the change was necessary. An announcement will be made on Thursday 26 April, at 12 noon (CET
).
How will the passwords be given out?
To get your new password, you need to go to the web page https://deelnemer.sidn.nl/nieuwwachtwoord. There you should enter your user name (dsu + registrar number); your old password (the one that you have been using to access DRS4) and your notify e-mail address. Your new password, which you will need to access DRS4 and the registrar website in future, will be displayed on the screen. Please note: your password will be provided in this way only once.
Your notify e-mail address is the address to which the DRS sends all communications concerning domain name applications, such as messages containing ticket numbers and interaction codes. This is the e-mail address that our system is set up to send notifications to. So it is very important that the notify e-mail address we have for you is a 'live' address. If needs be, you can change your notify e-mail address in DRS4.0 by going to the "Change registrar details" screen. We advise you to collect your new password before changing your notify e-mail address.
Need more information?
We hope that this letter explains what is happening with regard to the issue of new passwords. Details of the maintenance window are also available on our registrar website (https://registrar.sidn.nl). The information on the site includes the answers to frequently asked questions. If by any chance you have a question about the maintenance window that isn't answered there, please contact our Service Unit, either by e-mail (support@sidn.nl) or by phone (+31 26 352 5555). On Wednesday 25 April, our help desk will be staying open until 7pm (CET). At 12 noon (CET) on Thursday 26 April, we will be releasing more information by e-mail and on our registrar website.
De mail is overigens verzonden vanuit de SIDN mailinglist, van waaruit ook de onderhoudsvensters aangekondigd worden. Ontvangen jullie deze normaliter wel?
flashbanger
25/04/07, 13:50
Ben benieuwd wat de oorzaak is hiervan. Wij hebben de melding wel gehad vanmorgen.
in de mailbox waar normaal het onderhoudsvenster email binnen komt ook niks ontvangen.
IceHosting
25/04/07, 15:02
Lekker onduidelijke mail welk wachtwoord ze bedoelen. Wij hebben namelijk een verschillend wachtwoord voor het registratie systeem en de deelnemers site...
Maargoed we zien wel...
Er staat duidelijk dat je eerst moet inloggen op de site, het gaat dus om je tweede (DRS4) wachtwoord...
Idem hier. Kan met geen enkele combinatie inloggen :S
//edit
gelukt!
Zo duidelijk vind ik het helemaal niet dat je eerst moet inloggen op de deelnemerssite :D
InterNetjes
25/04/07, 15:21
Idem hier. Kan met geen enkele combinatie inloggen :S
//edit
gelukt!
Zo duidelijk vind ik het helemaal niet dat je eerst moet inloggen op de deelnemerssite :D
Dat is toch heel gewoon, SIDN-logica...
Aan de andere kant, ik heb er net weer een MS-cursus opzitten, dan valt SIDN logica echt wel mee hoor!
internettoday.nl
25/04/07, 15:53
Nou word er dus niet echt blij van.
crazycoder
25/04/07, 16:48
Erg vaag, en verontrustend, weer, dit had dus goed fout kunnen gaan allemaal :(
Het is beter in voorkomend geval snel te handelen.
Leuk is anders, maar men onderneemt in ieder geval wel actie. Wat dat betreft kan ik het wel waarderen.
Even afwachten wat de reden is, ze tot de grond toe afbranden kan altijd nog :p
Tja, maar het loopt toch weer niet echt over van professionaliteit? Het is idd makkelijk om ze af te branden maar duidelijk is het wel dat de Password DB is gekraakt, of er is ontdekt dat deze makkelijk te kraken valt, en wat te denken van het versturen van de passwords in plain tekst :( ach ja…. het is niet dat ze geen geld hebben om het goed te doen? Dat mogen we toch wel verwachten?
Nou dan nog wat positiefs, ze zijn mooi op tijd :)
Onderhoudsvenster DRS4
Aanvang: 25-04-2007 17:00 uur
Eind: 25-04-2007 18:00 uur
Onderstaande services zullen tijdens dit onderhoudsvenster niet beschikbaar zijn:
- DRS4.0;
Gevolgen voor de dienstverlening:
Tijdens het onderhoudsvenster is het niet mogelijk uw aanvragen te verwerken. Tevens is het niet mogelijk uw aanvragen per e-mail (met uw oude wachtwoord)te verwerken.
Reden:
Activeren van nieuwe wachtwoorden DRS4.
Verder weet ik niet of er iets gekraakt is. Met het trekken van conclusies kan beter gewacht worden totdat bekend is gemaakt wat er aan de hand is.Je hebt gelijk...we wachten tot morgen 12:00 uur
crazycoder
25/04/07, 17:03
Tja, maar het loopt toch weer niet echt over van professionaliteit? Het is idd makkelijk om ze af te branden maar duidelijk is het wel dat de Password DB is gekraakt, of er is ontdekt dat deze makkelijk te kraken valt, en wat te denken van het versturen van de passwords in plain tekst :( ach ja…. het is niet dat ze geen geld hebben om het goed te doen? Dat mogen we toch wel verwachten?
Ik begrijp ook niet helemaal waarom ze het wachtwoord plaintext versturen.
Verder weet ik niet of er iets gekraakt is. Met het trekken van conclusies kan beter gewacht worden totdat bekend is gemaakt wat er aan de hand is.
Vertrouwelijke gegevens kunnen op de meest vreemde manieren lekken..
InterNetjes
25/04/07, 18:54
Waarom is het niet gewoon standaard mogelijk je wachtwoord te wijzigen of nog beter... VERPLICHT per maand ofzo.
Je wachtwoord Plaintext versturen is helemaal niet zo gek, de redenen zijn vrij simpel:
- Zonder plaintext wachtwoorden kun je geen reminder versturen zonder het opnieuw te genereren als deze MD5 is.
- Er wordt verwacht dat je een wachtwoord verandert wanneer je deze per plaintext in je mail binnen krijgt.
- Er wordt sowiezo verwacht dat je ieder wachtwoord dat je binnen krijg in je mailbox verandert.
Er zijn zoveel signups die plaintext versturen, jullie MySQL servers zijn ook lekker safe zeker met de my.cnf
Beetje veel gevloek hier weer op de SIDN, ze hadden dus wat jullie betreft het beter niet kunnen doen.
Beste stuurlui staan aan wal zullen we maar zeggen.
Hmm erg handig, ik had het niet gezien, en nu werkt mijn oude wachtwoord dus niet meer.
InterNetjes
25/04/07, 19:25
Je wachtwoord Plaintext versturen is helemaal niet zo gek, de redenen zijn vrij simpel:
- Zonder plaintext wachtwoorden kun je geen reminder versturen zonder het opnieuw te genereren als deze MD5 is.
- Er wordt verwacht dat je een wachtwoord verandert wanneer je deze per plaintext in je mail binnen krijgt.
- Er wordt sowiezo verwacht dat je ieder wachtwoord dat je binnen krijg in je mailbox verandert.
Er zijn zoveel signups die plaintext versturen, jullie MySQL servers zijn ook lekker safe zeker met de my.cnf
Beetje veel gevloek hier weer op de SIDN, ze hadden dus wat jullie betreft het beter niet kunnen doen.
Beste stuurlui staan aan wal zullen we maar zeggen.
Unencrypted zaken opslaan, daar kun je het lang over hebben, maar dat is vrij relatief.
Mijn punt is, waarom kunnen deelnemers niet bij voorbaat zelf hun wachtwoord wijzigen?
Ik meende altijd dat je vroeger wel zelf je wachtwoord kon wijzigen, maar het schijnt er in drs 4.1 weer in te komen in ieder geval...
crazycoder
25/04/07, 19:39
Je wachtwoord Plaintext versturen is helemaal niet zo gek
Het wachtwoord was na aanpassen in de browser zichtbaar. Via ssl is voldoende beschermd. Er is dus eigenlijk geen reden om het per e-mail te versturen.
Voor zover ik weet kan je het zelf (nog) niet aanpassen.
Het wachtwoord was na aanpassen in de browser zichtbaar. Via ssl is voldoende beschermd. Er is dus eigenlijk geen reden om het per e-mail te versturen.
Voor zover ik weet kan je het zelf (nog) niet aanpassen.
De eerste keer krijg je deze ook per mail hoor.
Hoe wil je anders ooit een wachtwoord gebruiken waar je nog nooit bent ingelogd ?
Maar als je online je pass al ziet (wat het geval was) dan hoeft je toch niet OOK nog de pass per mail te krijgen? En kan iemand vertellen hoe we dit wachtwoord kunnen wijzigen?
Maar als je online je pass al ziet (wat het geval was) dan hoeft je toch niet OOK nog de pass per mail te krijgen?
Stond dat aangegeven dan dat je hem in je browser zou krijgen, dacht het niet, net niet op gelet. Tevens... beetje vervelend als je hem Copy/Paste ergens en hem toch vergeet. Het is helemaal niet zo gek allemaal.
En kan iemand vertellen hoe we dit wachtwoord kunnen wijzigen?
Beetje lezen misschien ?
Q: Vanaf wanneer kan het nieuwe door SIDN uitgegeven wachtwoord door de deelnemer zelf aangepast worden?
A: Dit wachtwoord kunt u zelf niet wijzigen. Deze functionaliteit is voorzien in DRS4.1 (zie releasenotes).
crazycoder
25/04/07, 20:05
Stond dat aangegeven dan dat je hem in je browser zou krijgen, dacht het niet
Beetje lezen misschien:
"U ontvangt dan op het scherm uw nieuwe wachtwoord waarmee u toegang heeft"..
Stond in de e-mail van SIDN met als onderwerp:
Activeer vandaag uw nieuwe wachtwoord.
:p
Beetje lezen misschien:
"U ontvangt dan op het scherm uw nieuwe wachtwoord waarmee u toegang heeft"..
Stond in de e-mail van SIDN met als onderwerp:
Activeer vandaag uw nieuwe wachtwoord.
:p
Tja dan zijn alle vragen toch uit de wereld ? Mij boeide het weinig, kreeg hem per mail en dat vond ik belangrijker op dit moment.
SIDN is dus erg volledig in alles als je het mij vraagt.
Wat wel heel cool (lauw) is :-)
"quote" Waarom verstrekt SIDN nieuwe wachtwoorden?
De noodzaak om u een nieuw wachtwoord te verstrekken is urgent. SIDN heeft indicaties ontvangen dat er een mogelijk beveiligingsrisico bestaat. Om dit risico tot een minimum te beperken verstrekken we u preventief nieuwe wachtwoorden. "unquote"
Dus een of andere ..... heeft een gebruikersnaam/wachtwoord van iemand.
Gaat met dit gestolen wachtwoord naar de sidn site en vult de gegevens in. Genereerd een nieuw wachtwoord dat dan in een webpagina aan hem gepresenteerd wordt.
De echte eigenaar ziet een mail en denkt "hee handig een nieuw wachtwoord".
Heel handig .....
Het is niet het eerste keer dat dit gebeurd bij een bedrijf. Een maandje geleden kregen wij eenzelfde soort mail van een bedrijf dat toch echt minstens 100x groter is dan de SIDN dus ik sta er niet echt meer van te kijken. Leuk is anders natuurlijk maar we wachten de oorzaak even af.
V v Zuydewijn
26/04/07, 09:12
Ik snap niet zo goed wat mensen lopen te zeiken. We weten toch allemaal dat er met 'computers en internet' wel eens iets mis kan gaan? Een lekje ontdekken, een medewerker die een db openzet voor de wereld het is ons allemaal wel eens overkomen. De SIDN dus ook. Ze reageren direct, maken de fout niet openbaar maar pas nadat deze herstelt is en klaar is kees. (Of in dit geval Roelof).
Prima geregeld toch?
Afhankelijk van het probleem wel.
Maar dat zien we dus om 12 uur wel.
Ik snap niet zo goed wat mensen lopen te zeiken. We weten toch allemaal dat er met 'computers en internet' wel eens iets mis kan gaan? Een lekje ontdekken, een medewerker die een db openzet voor de wereld het is ons allemaal wel eens overkomen. De SIDN dus ook. Ze reageren direct, maken de fout niet openbaar maar pas nadat deze herstelt is en klaar is kees. (Of in dit geval Roelof).
Prima geregeld toch?
Lijkt mij ook, maar je weet het in de wereld van internet... men zeurt graag (over een ander)
Lijkt mij ook, maar je weet het in de wereld van internet... men zeurt graag (over een ander)
En graag over SIDN lijkt het wel.
On topic: heeft iemand al iets vernomen over de exacte reden van deze operatie?
Om 12 uur komt er een mailing als het goed is met nadere uitleg.
Ik heb nog geen mailing gezien ;-)
En daar is de uitleg, tja...
Woensdag 25 april heeft u van ons bericht ontvangen dat we uit veiligheidsoverwegingen u preventief een nieuw wachtwoord verstrekken. Inmiddels zijn alle nieuwe wachtwoorden geactiveerd en kunt u niet meer via uw oude wachtwoord gebruik maken van de DRS4-applicatie. Uw nieuwe wachtwoord kunt u nog steeds ophalen via de speciaal ingerichte webpagina die u kunt bereiken via de deelnemerssite.
Aanleiding
SIDN werd geïnformeerd door een - overigens bonafide - organisatie dat het Content Management Systeem van onze website een kwetsbaarheid bevat. Daardoor waren versleutelde wachtwoorden voor de deelnemerssite toegankelijk. SIDN heeft haar leverancier van het CMS hierop aangesproken en de kwetsbaarheid direct laten verhelpen. Daarnaast is een uitgebreid onderzoek gestart naar de risico's. Uit dit onderzoek is gebleken dat er geen onregelmatigheden hebben plaatsgevonden. Toch heeft SIDN - in het belang van haar klanten - besloten om de hoogste voorzorgsmaatregelen te treffen. In de meeste gevallen is namelijk het wachtwoord voor de deelnemerssite hetzelfde als voor DRS4.
Direct is gestart met de voorbereidingen om in één keer op een veilige manier nieuwe wachtwoorden te verstrekken. Omdat de risico's pas volledig zijn uitgesloten op het moment dat de oude wachtwoorden zijn gedeactiveerd, heeft SIDN - in het belang van haar klanten - pas kort voor het daadwerkelijk omzetten van de wachtwoorden hierover kunnen communiceren. Woensdag 25 april kon deze operatie technisch worden gerealiseerd en bent u geïnformeerd via een emailbericht en via onze website.p.s.: mss dat de Engelse vertaling later komt?
V v Zuydewijn
26/04/07, 12:31
Echt een petje af voor de SIDN. Waar ze vroeger nog wel eens een steekje lieten vallen hebben ze dit goed opgepakt en gecommuniceerd.
Bravo!
In z'n geval kan het inderdaad niet anders en heb ik overigens ook een petje af voor ze!
Als het zo was dat van een iemand z'n wachtwoord was gestolen (of geraden) dan was het niet zo'n heisa geweest. Ik gok het er op dat of de hele database bij de SIDN is gepikt of dat de authenticatie vatbaar was voor brute-force of het betere gokwerk, misschien zelfs wel een SQL injection.
Anders ga je niet je hele authenticatie mechanisme vervangen en iedereen nieuwe wachtwoorden geven.
George/
Wel eens gehoord van voorzorg maatregelen? Er staat duidelijk aangegeven hoe het zit. Dus geen dingen zeggen waarvan jij geen 100% zeker bent. Er is een uitspraak gedaan en je gaat er vanuit dat deze correct is.
Als het zo was dat van een iemand z'n wachtwoord was gestolen (of geraden) dan was het niet zo'n heisa geweest. Ik gok het er op dat of de hele database bij de SIDN is gepikt of dat de authenticatie vatbaar was voor brute-force of het betere gokwerk, misschien zelfs wel een SQL injection.
Anders ga je niet je hele authenticatie mechanisme vervangen en iedereen nieuwe wachtwoorden geven.
George/