Onderwerp: Telenet helpdesk vraagt paswoord aan gebruiker

Kelly De Koninck schreef:

> Denk je nu echt dat je provider jouw email niet kan lezen?

Neen.
De rommel die nog op telenet.be domain toekomt wel.

>Ook zonder dat
> die je paswoord hoeft te kennen, kan iemand van systeembeheer gewoon
> inloggen op de mailserver en jouw volledige mailbox in plain text bekijken.

Dat is dan non-compliant, als hij dat doet zonder specifieke opdracht.

Als een systeembeheerder iemand zijn paswoord nodig heeft om een
bepaald probleem op te lossen, dan is het simpelweg geen
systeembeheerder.

> Gelukkig hebben die mensen wel wat beters te doen

Bijleren om competent te zijn voor hun job wellicht?

Tom

DavidG schreef:

(knip)
>
> LOL
>
> en hoeveel providers ken jij in België die standaard SPOP aanbieden of
> SMTP over SSL?
>
>
> Met vriendelijke groeten,
> David
>
> De Kunst van het Mogelijke
> www.DavidGeens.be

Jouw signature says it all !!
"De kunst van het mogelijke".....

Het is eerder van "niet willen" dan wel van "niet kunnen".

Tom

> Neen.
> De rommel die nog op telenet.be domain toekomt wel.

Als't gewoon pop3 is kan die dat ook lezen hoor Mirror op jouw IP zetten
en sniffen... Enfin, we wijken af

> Als een systeembeheerder iemand zijn paswoord nodig heeft om een
> bepaald probleem op te lossen, dan is het simpelweg geen
> systeembeheerder.

Jouw vraag ging over een helpdesker, niet over een systeembeheerder. Wat ik
wou aantonen was dat het weinig zin heeft paranoia te zijn tov je ISP; als
die je mailverkeer absoluut wil bekijken, kan die dat gerust. (is trouwens
ook wettelijk verplicht)

> Bijleren om competent te zijn voor hun job wellicht?
Misschien moet je het zelf eens proberen
K

Na rijp beraad schreef Kelly De Koninck :
>> Neen.
>> De rommel die nog op telenet.be domain toekomt wel.
>
> Als't gewoon pop3 is kan die dat ook lezen hoor Mirror op jouw IP zetten
> en sniffen... Enfin, we wijken af
>
>> Als een systeembeheerder iemand zijn paswoord nodig heeft om een
>> bepaald probleem op te lossen, dan is het simpelweg geen
>> systeembeheerder.
>
> Jouw vraag ging over een helpdesker, niet over een systeembeheerder. Wat ik
> wou aantonen was dat het weinig zin heeft paranoia te zijn tov je ISP; als
> die je mailverkeer absoluut wil bekijken, kan die dat gerust. (is trouwens
> ook wettelijk verplicht)

Waar staat dat? Kan zijn maar geef me de tekst eens.

--
Groetjes
Email me op dit adres
http://cerbermail.com/?UgbuNT2oiw

Kelly De Koninck wrote:

>> Neen.
>> De rommel die nog op telenet.be domain toekomt wel.
>
> Als't gewoon pop3 is kan die dat ook lezen hoor Mirror op jouw IP
> zetten en sniffen... Enfin, we wijken af
>
>> Als een systeembeheerder iemand zijn paswoord nodig heeft om een
>> bepaald probleem op te lossen, dan is het simpelweg geen
>> systeembeheerder.

Dat zal wel van het specifieke probleem afhangen, neen?
Zeker als je het probleem wil repliceren.
Zo iemand aan de helpdesk zal ook wel beperkte machtigingen hebben. Hem
vergelijken met een systeembeheerder is nogal kort door de bocht.

> Jouw vraag ging over een helpdesker, niet over een systeembeheerder. Wat
> ik wou aantonen was dat het weinig zin heeft paranoia te zijn tov je ISP;

Vind ik ook, op voorwaarde dat je de ISP zélf belde.
Het is tenslotte een internet-account. Niet de account van je PC of bank.

> als die je mailverkeer absoluut wil bekijken, kan die dat gerust. (is
> trouwens ook wettelijk verplicht)

AFAIK was er sprake van een bewaarplicht, maar ik heb geen weet dat dit
intussen in een wet gegoten is.

>> Bijleren om competent te zijn voor hun job wellicht?
> Misschien moet je het zelf eens proberen
> K

Gunter Schelfhout gebruikte zijn klavier om te schrijven :
> Kelly De Koninck wrote:
>
>>> Neen.
>>> De rommel die nog op telenet.be domain toekomt wel.
>>
>> Als't gewoon pop3 is kan die dat ook lezen hoor Mirror op jouw IP
>> zetten en sniffen... Enfin, we wijken af
>>
>>> Als een systeembeheerder iemand zijn paswoord nodig heeft om een
>>> bepaald probleem op te lossen, dan is het simpelweg geen
>>> systeembeheerder.
>
> Dat zal wel van het specifieke probleem afhangen, neen?
> Zeker als je het probleem wil repliceren.
> Zo iemand aan de helpdesk zal ook wel beperkte machtigingen hebben. Hem
> vergelijken met een systeembeheerder is nogal kort door de bocht.
>
>> Jouw vraag ging over een helpdesker, niet over een systeembeheerder. Wat
>> ik wou aantonen was dat het weinig zin heeft paranoia te zijn tov je ISP;
>
> Vind ik ook, op voorwaarde dat je de ISP zélf belde.
> Het is tenslotte een internet-account. Niet de account van je PC of bank.
>
>> als die je mailverkeer absoluut wil bekijken, kan die dat gerust. (is
>> trouwens ook wettelijk verplicht)
>
> AFAIK was er sprake van een bewaarplicht, maar ik heb geen weet dat dit
> intussen in een wet gegoten is.

Ik spreek niet over bewaarplicht maar ik heb geen weet dat hij mijn
berichten mag lezen, wet op de privacy?

--
Groetjes
Email me op dit adres
http://cerbermail.com/?UgbuNT2oiw

Rudi.$ wrote:

[knip]

>> AFAIK was er sprake van een bewaarplicht, maar ik heb geen weet dat dit
>> intussen in een wet gegoten is.
>
> Ik spreek niet over bewaarplicht maar ik heb geen weet dat hij mijn
> berichten mag lezen, wet op de privacy?
>

En hoe ga jij dat controleren?

Gunter Schelfhout schreef :
> Rudi.$ wrote:
>
> [knip]
>
>>> AFAIK was er sprake van een bewaarplicht, maar ik heb geen weet dat dit
>>> intussen in een wet gegoten is.
>>
>> Ik spreek niet over bewaarplicht maar ik heb geen weet dat hij mijn
>> berichten mag lezen, wet op de privacy?
>>
>
> En hoe ga jij dat controleren?

Hoe ga jij controleren dat ik vanacht een overval zou plegen, kom nou
zeg, op die manier blijf je toch lullen zeker. Mag het of niet,
antwoord daar eerst eens op, dan zal je snappen dat je gewoon aan het
miereneuken bent.

--
Groetjes
Email me op dit adres
http://cerbermail.com/?UgbuNT2oiw

Gunter Schelfhout schreef:

> Kelly De Koninck wrote:
>
> >> Neen.
> >> De rommel die nog op telenet.be domain toekomt wel.
> >
> > Als't gewoon pop3 is kan die dat ook lezen hoor Mirror op jouw IP
> > zetten en sniffen... Enfin, we wijken af
> >
> >> Als een systeembeheerder iemand zijn paswoord nodig heeft om een
> >> bepaald probleem op te lossen, dan is het simpelweg geen
> >> systeembeheerder.
>
> Dat zal wel van het specifieke probleem afhangen, neen?
> Zeker als je het probleem wil repliceren.
> Zo iemand aan de helpdesk zal ook wel beperkte machtigingen hebben. Hem
> vergelijken met een systeembeheerder is nogal kort door de bocht.
>

Ha ja, daar zou de bocht inderdaad wel eens te kort kunnen geweest zijn
: tot voor een paar weken deed ik én helpdesk (pcsupport) én
netwerken én systeembeheer.
En gijlie allemaal nu tope :-)

Wat niet wegneemt dat Telenet geen minimum-school zou moeten plegen, en
niet zomaar wat medewerkers in de sideline laten meekijken totdat er
iemand -terecht- lastig doet.
Uiteindelijk zag je in mijn klacht wel een opeenstapeling van
problemen.

" Je mag niet moeilijk doen, mijnheer, je hoeft gewoon je 41.95 Euro
per maand te betalen en dan laten we je met rust."

Incompententie heeft zijn prijs. In 2007 zal het gevoeld worden.

Tom

Rudi.$ wrote:

>>>> AFAIK was er sprake van een bewaarplicht, maar ik heb geen weet dat dit
>>>> intussen in een wet gegoten is.
>>>
>>> Ik spreek niet over bewaarplicht maar ik heb geen weet dat hij mijn
>>> berichten mag lezen, wet op de privacy?
>>>
>>
>> En hoe ga jij dat controleren?
>
> Hoe ga jij controleren dat ik vanacht een overval zou plegen, kom nou
> zeg, op die manier blijf je toch lullen zeker. Mag het of niet,
> antwoord daar eerst eens op, dan zal je snappen dat je gewoon aan het
> miereneuken bent.

Hij mag het niet lezen om zomaar te lezen, maar ik zie niet in waarom een
admin niet naar het verkeer (headers) zou mogen kijken. En daarom, hoe ga
jij controleren dat hij eens niet naar de inhoud piept?
En daar ging het over. Moet je uw ISP wantrouwen?
Dat is voor mij als het weigeren van het geven van uw paswoord aan de
root/admin op een Unix-systeem, hij kan er toch in. Of anders gezegd, als
hij misbruik wil maken, dan gebeurd het toch.
Wil dat zeggen dat je dan zomaar aan iedereen je paswoord moet geven,
natuurlijk niet.
In het geval van de ISP zie ik daar echter geen graten in. Wat zou het
mogelijke misbruik kunnen zijn, dat anders niet mogelijk was?

Surf jij maar eens dag in dag uit op uw pc op het werk naar adult sites.
Het zal mede dankzij de logs zijn dat ze u zullen nekken en roep jij dan
maar het recht van de privacy in.
Je zal dan ook een beetje vertrouwen moeten hebben in de beheerder dat hij
geen foute dingen doet.

Gunter Schelfhout drukte met precisie uit :
> Rudi.$ wrote:
>
>>>>> AFAIK was er sprake van een bewaarplicht, maar ik heb geen weet dat dit
>>>>> intussen in een wet gegoten is.
>>>>
>>>> Ik spreek niet over bewaarplicht maar ik heb geen weet dat hij mijn
>>>> berichten mag lezen, wet op de privacy?
>>>>
>>>
>>> En hoe ga jij dat controleren?
>>
>> Hoe ga jij controleren dat ik vanacht een overval zou plegen, kom nou
>> zeg, op die manier blijf je toch lullen zeker. Mag het of niet,
>> antwoord daar eerst eens op, dan zal je snappen dat je gewoon aan het
>> miereneuken bent.
>
> Hij mag het niet lezen om zomaar te lezen, maar ik zie niet in waarom een
> admin niet naar het verkeer (headers) zou mogen kijken. En daarom, hoe ga
> jij controleren dat hij eens niet naar de inhoud piept?
> En daar ging het over. Moet je uw ISP wantrouwen?

Als ik iets ontdekt dat hij alleen uit een mail van mij kan halen hangt
ie, zo simpel is het. Hij moet daar gewoon met zijn ogen afblijven. Nou
gaat het helemaal mooi worden, jij bent big brother zelf zeker?

> Dat is voor mij als het weigeren van het geven van uw paswoord aan de
> root/admin op een Unix-systeem, hij kan er toch in. Of anders gezegd, als
> hij misbruik wil maken, dan gebeurd het toch.

En overtreed hij de wet, zo ken ik er nog wel een paar.

> Wil dat zeggen dat je dan zomaar aan iedereen je paswoord moet geven,
> natuurlijk niet.
> In het geval van de ISP zie ik daar echter geen graten in. Wat zou het
> mogelijke misbruik kunnen zijn, dat anders niet mogelijk was?

Het is een princiepe, paswoorden bij mijn weten dienen niet om ze uit
te wisselen, maar om toegang te krijgen tot bronnen die voor jou zijn
gereserveerd.

>
> Surf jij maar eens dag in dag uit op uw pc op het werk naar adult sites.
> Het zal mede dankzij de logs zijn dat ze u zullen nekken en roep jij dan
> maar het recht van de privacy in.

Neen, woordenflipperaar, als je advokaatje wil spelen dan doe je dat
maar op de rechtbank hier gaan we nog logisch tewerk.



> Je zal dan ook een beetje vertrouwen moeten hebben in de beheerder dat hij
> geen foute dingen doet.

Dat is juist, en nou komen we eigenlijk op het punt waar we moeten
zijn. Wie schaadt in de meerderheid het vertrouwen van de mens,
inderdaad een firma of provider, niet de klant want die kan gewoon niks
doen, dan betalen voor in sommige gevallen niks, want providers hebben
in dit land naar hun klanten toe veel te veel macht.

Dus, een paswoord, wel dan zal dat op een hele secure en veilige manier
moeten kunnen gebeuren. Trouwens om het niet allemaal zwart wit te
stellen, ik heb al helpdeskwerkers gehad die zelf vertelden dat ze het
paswoord niet nodig hadden of wilden hebben.

En alles is gebasseerd op vertrouwen dat klopt, maar de huidige tendens
is bij heel wat mensen compleet verziekt mede bij het overdijven van
deze toestanden.

--
Groetjes
Email me op dit adres
http://cerbermail.com/?UgbuNT2oiw

Gunter Schelfhout wrote:
> Hij mag het niet lezen om zomaar te lezen, maar ik zie niet in waarom een
> admin niet naar het verkeer (headers) zou mogen kijken. En daarom, hoe ga
> jij controleren dat hij eens niet naar de inhoud piept?

Spamfiltering leest je mail. Ik zie email als een postkaart. Wil je dat
neimand het leest, dan doe je het in een envelop. rot13 is een niet
dichtgeplakte nevelop. gpg is een wel dichtgeplakte envelop.

> En daar ging het over. Moet je uw ISP wantrouwen?

Niet meer dan de postbode.

> Het zal mede dankzij de logs zijn dat ze u zullen nekken en roep jij dan
> maar het recht van de privacy in.

Daar gebruik ik tunnelingvoor, uh, ik bedoel ik heb horen zeggen dat er
mensen zijn die daar tunneling voor gebruiken via ssh.

houghi
--
They say pesticides have been linked to low sperm counts.
In my opinion if you have bugs down there that are so bad
you need to use a pesticide, you're not gonna get laid anyway.

On Sat, 30 Dec 2006 03:41:55 -0800, Tom wrote:

> Luc Stroobant schreef:
>
> (knip)
>> Ik zou toch eens diep adem halen en alles nog een rustig herlezen, want
>> volgens mij antwoord je regelmatig op dingen die er niet geschreven staan...
>>
>
> Het is niet omdat ik de vergelijking maak met iets dat ik op iets
> anders als zodanig antwoord....
> Geef een _concreet_ voorbeeld van hetgeen jij bedoelt, want met
> "regelmatig" en met "dingen" kun je iemand dood doen.. (een dooddoender
> noemen ze zo'n uitspraak...)

Wel, je brengt wel veel redenen aan om een wachtwoord niet te geven, maar
kan je eens een suggestie doen voor een systeem dat dan wel zou werken?
Je wil enerzijds niet dat alle (tientallen, honderden?) helpdeskers van
een grote ISP zich zomaar de rechten kunnen toe-eigenen van elke klant.
Een knopje "sudo mijnheer janssens" voorzie je dus liefst niet in je
helpdesk-software, tenzij je een poort naar misbruiken wil openzetten. Dan
resten er niet veel opties buiten wachtwoord vragen en wachtwoord resetten?


> Het ging hier anders wel redelijk to the point aan toe : paswoorden,
> security en het feit dat men op een helpdesk van een ISP het slechte
> voorbeeld niet moet geven aan de mensen

Maar intussen zat je wel regelmatig voorbeelden uit jouw persoonlijk
professionele omgeving te projecteren naar een andere omgeving. In Windows
is het makkelijk om "change password at next logon" aan te vinken, maar
vertel me eens hoe je dat bij een ISP doet als de "next logon" met een
pop3- of nntp-client blijkt te gebeuren?

Ik vermoed dat je ongetwijfeld goede redenen hebt om geïrriteerd te zijn
over Telenet (zoals vele klanten), maar om naar oplossingen van een
probleem te komen moet je soms de zaken een beetje pragmatisch bekijken.
Het gaat niet helpen als je tegen een helpdesker een hele uitleg doet dat
het onveilig is om je wachtwoord aan de telefoon te geven. Vertel gewoon
dat je het niet doet en vraag om het pass te resetten en kom tot je echt
probleem, zou ik zeggen...


Luc

On Sat, 30 Dec 2006 07:36:18 -0800, Tom wrote:

> Ha ja, daar zou de bocht inderdaad wel eens te kort kunnen geweest zijn
> : tot voor een paar weken deed ik én helpdesk (pcsupport) én
> netwerken én systeembeheer.
> En gijlie allemaal nu tope :-)

En 700.000 klanten die je opbelden zeker? ;-)

Luc

Luc Stroobant schreef:


> Het gaat niet helpen als je tegen een helpdesker een hele uitleg doet dat
> het onveilig is om je wachtwoord aan de telefoon te geven. Vertel gewoon
> dat je het niet doet


Dat heb ik dan ook gedaan. (Maar tevens om het niet te resetten : dus
zei ik "laat maar zitten")
Het is niet aan mij om aan een helpdesker uit te leggen wat ie moet
doen...
Ik kan niet spreken voor Unix/Linux, maar onder Windows doe ik gewoon
"Run As" (in software : identity impersonation ....)

Tom