Onderwerp: Scarlet <-> beveiliging gegevens.

Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie iets
totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
kan met dat password je rekening naar 40+185 euro verhogen.
Voor de mensen die niet echt veel van internet afweten:
Alle passwords die je via POP3 of een webmail zonder https verbinding
verzendt zijn gemakkelijk te achterhalen. Als je weet dat je mail client
om de 5 a 10 minuten je password totaal onbeschermd naar de scarlet
server zendt dan begrijp je dat het heel gewaagd is om je password
zomaar naar een scarlet server te zenden over het internet. Maar
blijkbaar is dat helemaal geen probleem voor scarlet, de laatste keer ik
er hen iets over vroeg zeiden ze:

"De door u gevraagde aanpassing is helaas niet mogelijk.

Wij hopen u hiermee van dienst te zijn geweest."

Moest het niet zijn dat ze tot begin dit jaar niet telden wat je
downloade, zou ik al lang weg geweest zijn. Samen met de naam "planet
internet" hebben ze blijkbaar ook hun systeembeheerders en hun helpdesk
aan de deur gezet. En hoogst waarschijnlijk een deel van de
facturatiedienst. In feite is er maar weinig dat bij scarlet nog naar
behoren werkt. Alleen met de bandbreedte zelf heb ik nog nooit problemen
ondervonden.
Ook om de site "mijn.scarlet.be" te bezoeken is er helemaal geen
beveiliging. Op de meeste gratis webmail kun je vandaag de dag via https
inloggen. Bij scarlet kan je al je facturatiegegevens of
abonnementskeuze aanpassen zonder dat er ook maar iets van die
informatie beschermd wordt, en itt gratis webmail, kunnen die
veranderingen je serieus wat geld kosten.


Hoe kan je die mannen overtuigen dat zoiets vandaag de dag wel nodig is?
Heeft RedAttack de belgische bedrijven dan niets bijgeleerd?


mvg,

Neduz

On Sat, 21 Aug 2004 01:09:55 +0200, Neduz wrote:

> Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
> ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie iets
> totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
> het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
> is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
> kan met dat password je rekening naar 40+185 euro verhogen.

Je hebt meer dan één mailbox, en per mailbox kan je een wachtwoord
instellen ....
surf enkel via je eigen scarletverbinding naar die sites en je verlaat het
scarlet netwerk niet ...



> Voor de mensen die niet echt veel van internet afweten:
> Alle passwords die je via POP3 of een webmail zonder https verbinding
> verzendt zijn gemakkelijk te achterhalen. Als je weet dat je mail client
> om de 5 a 10 minuten je password totaal onbeschermd naar de scarlet
> server zendt dan begrijp je dat het heel gewaagd is om je password
> zomaar naar een scarlet server te zenden over het internet. Maar
> blijkbaar is dat helemaal geen probleem voor scarlet, de laatste keer ik
> er hen iets over vroeg zeiden ze:
>
> "De door u gevraagde aanpassing is helaas niet mogelijk.
>
> Wij hopen u hiermee van dienst te zijn geweest."
>


en bij hoeveel providers gebruikt men een ander protocol dan POP3?
Dat dan ook veiliger is ...


> Moest het niet zijn dat ze tot begin dit jaar niet telden wat je
> downloade, zou ik al lang weg geweest zijn. Samen met de naam "planet
> internet" hebben ze blijkbaar ook hun systeembeheerders en hun helpdesk
> aan de deur gezet. En hoogst waarschijnlijk een deel van de
> facturatiedienst. In feite is er maar weinig dat bij scarlet nog naar
> behoren werkt. Alleen met de bandbreedte zelf heb ik nog nooit problemen
> ondervonden.
> Ook om de site "mijn.scarlet.be" te bezoeken is er helemaal geen
> beveiliging. Op de meeste gratis webmail kun je vandaag de dag via https
> inloggen. Bij scarlet kan je al je facturatiegegevens of
> abonnementskeuze aanpassen zonder dat er ook maar iets van die
> informatie beschermd wordt, en itt gratis webmail, kunnen die
> veranderingen je serieus wat geld kosten.
>

Webmail controleren op een andere pc dan de jouwe is hoedanook al onveilig
Ook als je nu gebruik maakt van https of niet ...


Of als het toch je pc is maar op een andere locatie en ander netwerk kan
je eventueel een beetje moeilijk doen, je pc op je scarletverbinding je
mail laten checken, deze encrypteren (met public/private key systeem) en
ergens publiceren of doormailen (lijkt omslachtig, nee? ).



>
> Hoe kan je die mannen overtuigen dat zoiets vandaag de dag wel nodig is?
> Heeft RedAttack de belgische bedrijven dan niets bijgeleerd?
>
>

Dat zal heus wel wereldwijd zo zijn en toch weer niet te veralgemenen :-)

Neduz schreef op 21/08/2004 in
<1093043395.817466@seven.kulnet.kuleuven.ac.be>
> Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een ADSL
> toegang, en beheer van het abonnement. Aangezien SSL encryptie iets totaal
> ongekend blijkt te zijn op de mail en webservers van Scarlet, is het
> onmogelijk je password veilig naar hen te verzenden. Vandaag de dag is dit
> nog een groter gevaar: iemand die even een "grap" wil uithalen kan met dat
> password je rekening naar 40+185 euro verhogen.
> Voor de mensen die niet echt veel van internet afweten:
> Alle passwords die je via POP3 of een webmail zonder https verbinding
> verzendt zijn gemakkelijk te achterhalen. Als je weet dat je mail client om
> de 5 a 10 minuten je password totaal onbeschermd naar de scarlet server zendt
> dan begrijp je dat het heel gewaagd is om je password zomaar naar een scarlet
> server te zenden over het internet. Maar blijkbaar is dat helemaal geen
> probleem voor scarlet, de laatste keer ik er hen iets over vroeg zeiden ze:
>
> "De door u gevraagde aanpassing is helaas niet mogelijk.
>
> Wij hopen u hiermee van dienst te zijn geweest."
>
> Moest het niet zijn dat ze tot begin dit jaar niet telden wat je downloade,
> zou ik al lang weg geweest zijn. Samen met de naam "planet internet" hebben
> ze blijkbaar ook hun systeembeheerders en hun helpdesk aan de deur gezet. En
> hoogst waarschijnlijk een deel van de facturatiedienst. In feite is er maar
> weinig dat bij scarlet nog naar behoren werkt. Alleen met de bandbreedte zelf
> heb ik nog nooit problemen ondervonden.
> Ook om de site "mijn.scarlet.be" te bezoeken is er helemaal geen beveiliging.
> Op de meeste gratis webmail kun je vandaag de dag via https inloggen. Bij
> scarlet kan je al je facturatiegegevens of abonnementskeuze aanpassen zonder
> dat er ook maar iets van die informatie beschermd wordt, en itt gratis
> webmail, kunnen die veranderingen je serieus wat geld kosten.
>
>
> Hoe kan je die mannen overtuigen dat zoiets vandaag de dag wel nodig is?
> Heeft RedAttack de belgische bedrijven dan niets bijgeleerd?

Door te laten zien dat het al gebeurd is, en heb je zo al iets
wijsgemaakt?

--
Groetjes Rudi
Mistakes are doorways to discovery. - unknown

> Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
> ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie iets
> totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
> het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
> is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
> kan met dat password je rekening naar 40+185 euro verhogen.

Da's wel niet helemaal waar he. Je kan je limiet voor je op smalband vliegt
verhogen. Maar als ik mijn volumemeter op 200 GB zet, en ik download er maar
5, dan betaal ik nog altijd maar 39,5 euro. Die meter heeft niks met
facturatie te maken; die bepaalt alleen wanneer je op smalband gezet wordt.
Je betaalt enkel als je boven de 15 GB zit, ongeacht of je op smalband zit
of niet.
K

TL wrote:

> On Sat, 21 Aug 2004 01:09:55 +0200, Neduz wrote:
>
>
>>Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
>>ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie iets
>>totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
>>het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
>>is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
>>kan met dat password je rekening naar 40+185 euro verhogen.

Bij versatel is het op dat punt ook niet beter. Het wachtwoord voor de
ADSL-verbinding is ook dat van de eerste mailbox en voor "Mijn
Versatel". En de webmail, pop3 en "Mijn Versatel" gebruiken geen encryptie.

Ik heb ze eens een email gezonden met als suggestie om https te
gebruiken voor de webmail. Ze bedankten mij voor mijn suggestie en
gingen het doorgeven dan de webmaster.

>
> en bij hoeveel providers gebruikt men een ander protocol dan POP3?
> Dat dan ook veiliger is ...

Er zijn er die ook IMAP ondersteunen, al zou ik niet weten welke ISP dat
doet. Ik gebruik de IMAP email van DeDS.nl, heel handig als je steeds
online bent en ook de webmail gebruikt op verplaatsing. Maar pop3 of
IMAP heeft niets te maken met de beveiliging.

/Like many other older Internet protocols, POP3 originally supported
only an unencrypted login mechanism. Although plain text transmission of
passwords in POP3 is still common, POP3 currently supports several
authentication methods to provide varying levels of protection against
illegitimate access to a user's email. It is also possible to encrypt
POP3 traffic using SSL./

http://en.wikipedia.org/wiki/POP3

Is ook voorzien bij Thunderbird.

En als we dan toch bezig zijn dan zouden ze ook nog de SMTP kunnen
beveiling.
http://en.wikipedia.org/wiki/SMTP-AUTH

Dat zou waarschijnlijk een stuk van de spam/virussen kunnen tegenhouden
en goed zijn voor de 0900's van de ISP's aangezien er dan veel mensen
gaan bellen om te zeggen dat ze geen email kunnen versturen wegens foute
instellingen.

--
Contact: walter AT wikipedia PUNT be
Ook een artikeltje schrijven? WikipediaNL, de vrije GNU/FDL encyclopedie
http://www.wikipedia.be

TL wrote:
> Ook als je nu gebruik maakt van https of niet ...

Voor hen die hte niet geloven:
http://www.thinkgeek.com/gadgets/electronic/5a05/

Uiteraard is het zo dat als je paranoia bent je niet het net op moet (Of
juist wel, omdat je dan gelijk hebt dat ze je volgen)
--
http://www.houghi.org | | _)
\ \ \ /\ \ \ /\ \ \ / \ _ \ | | _` | \ | _ \ _|_` |
\_/\_/ \_/\_/ \_/\_/_)_| _|\___/\_,_|\__, |_| _|_|_)\___/_|\__, |
My experience with SUSE. ____/ ____/

houghi <houghi@houghi.org.invalid> wrote in
news:slrnciemf7.5m3.houghi@penne.houghi:

> Uiteraard is het zo dat als je paranoia bent je niet het net op moet
^^^^^^^^
'Paranoïde.'

HTH. HAND.

Nopel

Walter Vermeir wrote:
> TL wrote:
>
>> On Sat, 21 Aug 2004 01:09:55 +0200, Neduz wrote:
>>
>>
>>> Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
>>> ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie
>>> iets totaal ongekend blijkt te zijn op de mail en webservers van
>>> Scarlet, is het onmogelijk je password veilig naar hen te verzenden.
>>> Vandaag de dag is dit nog een groter gevaar: iemand die even een
>>> "grap" wil uithalen kan met dat password je rekening naar 40+185 euro
>>> verhogen.
>
>
> Bij versatel is het op dat punt ook niet beter. Het wachtwoord voor de
> ADSL-verbinding is ook dat van de eerste mailbox en voor "Mijn
> Versatel". En de webmail, pop3 en "Mijn Versatel" gebruiken geen encryptie.
>
> Ik heb ze eens een email gezonden met als suggestie om https te
> gebruiken voor de webmail. Ze bedankten mij voor mijn suggestie en
> gingen het doorgeven dan de webmaster.
>

Ze zijn daar dan blijkbaar al een stuk vriendelijker.

>>
>> en bij hoeveel providers gebruikt men een ander protocol dan POP3?
>> Dat dan ook veiliger is ...
>
>
> Er zijn er die ook IMAP ondersteunen, al zou ik niet weten welke ISP dat
> doet. Ik gebruik de IMAP email van DeDS.nl, heel handig als je steeds
> online bent en ook de webmail gebruikt op verplaatsing. Maar pop3 of
> IMAP heeft niets te maken met de beveiliging.
>

Op de KUL (waar ik nu student ben) gebruiken ze dat. Je MOET zelfs SSL
encryptie gebruiken. Zeer handig.
Thuis draai ik op mijn linux ook fetchmail, spamassassin, exim en
uw-imapd (die laatste met SSL) zodat ik "veilig" vanop kotnet mijn mails
kan lezen. (veilig in de zin: mijn password zou het scarlet netwerk
nooit hebben verlaten).

> /Like many other older Internet protocols, POP3 originally supported
> only an unencrypted login mechanism. Although plain text transmission of
> passwords in POP3 is still common, POP3 currently supports several
> authentication methods to provide varying levels of protection against
> illegitimate access to a user's email. It is also possible to encrypt
> POP3 traffic using SSL./
>
[knip]

heel mooi allemaal, maar Scarlet zou het dan ook moeten ondersteunen

mvg,

Neduz

Kelly De Koninck wrote:
>>Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
>>ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie iets
>>totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
>>het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
>>is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
>>kan met dat password je rekening naar 40+185 euro verhogen.
>
>
> Da's wel niet helemaal waar he. Je kan je limiet voor je op smalband vliegt
> verhogen. Maar als ik mijn volumemeter op 200 GB zet, en ik download er maar
> 5, dan betaal ik nog altijd maar 39,5 euro. Die meter heeft niks met
> facturatie te maken; die bepaalt alleen wanneer je op smalband gezet wordt.
> Je betaalt enkel als je boven de 15 GB zit, ongeacht of je op smalband zit
> of niet.
> K
>
>

Ik heb het eerlijk gezegd nog niet geprobeerd, maar zou kunnen zijn.
Maar ik hou nog steeds niet van het idee dat andere mensen eigenschappen
van mijn abonnement kunnen aanpassen.

mvg,

Neduz

Neduz schreef op 21/08/2004 in
<1093108607.529054@seven.kulnet.kuleuven.ac.be>
> Kelly De Koninck wrote:
>>>Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
>>>ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie iets
>>>totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
>>>het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
>>>is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
>>>kan met dat password je rekening naar 40+185 euro verhogen.
>>
>>
>> Da's wel niet helemaal waar he. Je kan je limiet voor je op smalband vliegt
>> verhogen. Maar als ik mijn volumemeter op 200 GB zet, en ik download er
>> maar
>> 5, dan betaal ik nog altijd maar 39,5 euro. Die meter heeft niks met
>> facturatie te maken; die bepaalt alleen wanneer je op smalband gezet wordt.
>> Je betaalt enkel als je boven de 15 GB zit, ongeacht of je op smalband zit
>> of niet.
>> K
>>
>>
>
> Ik heb het eerlijk gezegd nog niet geprobeerd, maar zou kunnen zijn. Maar ik
> hou nog steeds niet van het idee dat andere mensen eigenschappen van mijn
> abonnement kunnen aanpassen.

Als de lucht invalt zijn de mussen dood.

Nog steeds kan ik ook niet zeker zijn op een onbezorgde oude dag, wat
moet ik daar aan doen?
m.a.w. Overdrijf je niet een beetje?

--
Groetjes Rudi
Mistakes are doorways to discovery. - unknown

Nopel wrote:
> houghi <houghi@houghi.org.invalid> wrote in
> news:slrnciemf7.5m3.houghi@penne.houghi:
>
>
>>Uiteraard is het zo dat als je paranoia bent je niet het net op moet
>
> ^^^^^^^^
> 'Paranoïde.'
In de Van Dale staat paranoia als alias voor paranoïde. Als je dan toch
wilt kommaneuken, doe het dan wanneer het gepast is.

--
Pieter NObels

Rudi.s wrote:
> Neduz schreef op 21/08/2004 in
> <1093108607.529054@seven.kulnet.kuleuven.ac.be>
>
>> Kelly De Koninck wrote:
>>
>>>> Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
>>>> ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie
>>>> iets
>>>> totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
>>>> het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
>>>> is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
>>>> kan met dat password je rekening naar 40+185 euro verhogen.
>>>
>>>
>>>
>>> Da's wel niet helemaal waar he. Je kan je limiet voor je op smalband
>>> vliegt
>>> verhogen. Maar als ik mijn volumemeter op 200 GB zet, en ik download
>>> er maar
>>> 5, dan betaal ik nog altijd maar 39,5 euro. Die meter heeft niks met
>>> facturatie te maken; die bepaalt alleen wanneer je op smalband gezet
>>> wordt.
>>> Je betaalt enkel als je boven de 15 GB zit, ongeacht of je op
>>> smalband zit
>>> of niet.
>>> K
>>>
>>>
>>
>> Ik heb het eerlijk gezegd nog niet geprobeerd, maar zou kunnen zijn.
>> Maar ik hou nog steeds niet van het idee dat andere mensen
>> eigenschappen van mijn abonnement kunnen aanpassen.
>
>
> Als de lucht invalt zijn de mussen dood.
>
> Nog steeds kan ik ook niet zeker zijn op een onbezorgde oude dag, wat
> moet ik daar aan doen?
> m.a.w. Overdrijf je niet een beetje?
>

Bah, kweet niet. Aan de ene kant, zolang niemand mij op kosten kan jagen
is dat geen probleem. Aan de andere kant blijkt internet steeds
belangrijker te worden. Bijvoorbeeld: toepassingen zoals taxonweb.be,
gelukkig zenden ze daarvoor ook nog een apparte brief met een
passwordkaartje, maar ze zeiden ook bij het inschrijven dat je het
gewone wachtwoord ZEER goed moet beschermen. Maar ze zenden het op via
email...
Internet wordt ook meer "volwassen", en internetgebruikers worden steeds
vaker verantwoordelijk geacht voor wat ze doen via hun verbinding. Het
zou dan vansprekend ook moeilijker moeten worden om iemands "online
identiteit" te stelen.


mvg,

Neduz

Neduz schreef op 21/08/2004 in
<1093121255.444556@seven.kulnet.kuleuven.ac.be>
> Rudi.s wrote:
>> Neduz schreef op 21/08/2004 in
>> <1093108607.529054@seven.kulnet.kuleuven.ac.be>
>>
>>> Kelly De Koninck wrote:
>>>
>>>>> Scarlet gebruikers hebben 1 password dat dient voor een mailbox, een
>>>>> ADSL toegang, en beheer van het abonnement. Aangezien SSL encryptie iets
>>>>> totaal ongekend blijkt te zijn op de mail en webservers van Scarlet, is
>>>>> het onmogelijk je password veilig naar hen te verzenden. Vandaag de dag
>>>>> is dit nog een groter gevaar: iemand die even een "grap" wil uithalen
>>>>> kan met dat password je rekening naar 40+185 euro verhogen.
>>>>
>>>>
>>>>
>>>> Da's wel niet helemaal waar he. Je kan je limiet voor je op smalband
>>>> vliegt
>>>> verhogen. Maar als ik mijn volumemeter op 200 GB zet, en ik download er
>>>> maar
>>>> 5, dan betaal ik nog altijd maar 39,5 euro. Die meter heeft niks met
>>>> facturatie te maken; die bepaalt alleen wanneer je op smalband gezet
>>>> wordt.
>>>> Je betaalt enkel als je boven de 15 GB zit, ongeacht of je op smalband
>>>> zit
>>>> of niet.
>>>> K
>>>>
>>>>
>>>
>>> Ik heb het eerlijk gezegd nog niet geprobeerd, maar zou kunnen zijn. Maar
>>> ik hou nog steeds niet van het idee dat andere mensen eigenschappen van
>>> mijn abonnement kunnen aanpassen.
>>
>>
>> Als de lucht invalt zijn de mussen dood.
>>
>> Nog steeds kan ik ook niet zeker zijn op een onbezorgde oude dag, wat moet
>> ik daar aan doen?
>> m.a.w. Overdrijf je niet een beetje?
>>
>
> Bah, kweet niet. Aan de ene kant, zolang niemand mij op kosten kan jagen is
> dat geen probleem. Aan de andere kant blijkt internet steeds belangrijker te
> worden. Bijvoorbeeld: toepassingen zoals taxonweb.be, gelukkig zenden ze
> daarvoor ook nog een apparte brief met een passwordkaartje, maar ze zeiden
> ook bij het inschrijven dat je het gewone wachtwoord ZEER goed moet
> beschermen. Maar ze zenden het op via email...
> Internet wordt ook meer "volwassen", en internetgebruikers worden steeds
> vaker verantwoordelijk geacht voor wat ze doen via hun verbinding. Het zou
> dan vansprekend ook moeilijker moeten worden om iemands "online identiteit"
> te stelen.

Klopt, maar wij op usenet liggen daar misschien van wakker, maar kijk
maar eens hoeveel veel te lakse gebruikers op het net allerlei
stommiteiten uithalen, veel uit onwetendheid maar ook uit gewone
luiheid. Die zul je ook niet echt helpen met een wachtwoord dat zwaar
wordt gescrambeld. In eerste instantie moet de groet meute bewust
worden gemaakt van het net, niet om hen af te schrikken maar om hun te
leren omgaan met een virtuele wereld die desondanks best reële gevaren
oplevert.

--
Groetjes Rudi
Mistakes are doorways to discovery. - unknown