Bedrift kan se passordet mitt

[Tommywelle]

Hei

 

Ringte isted Babyglede.no for kjæresten min, for å finne ut av innloggings informasjonen hennes, da jeg ble fortalt av nettsiden at hun ikke fantes i registeret.

 

Jeg ble da fortalt hennes både brukernavn og passord over telefonen.

 

Jeg lurer egentlig på, er dette noe de har lov å se? Dette er et passord hun egentlig bruker så og si overalt. Og skal de ha muligheten til å se det så enkelt? Jeg ringte inn for kjæresten min også og de spurte meg ingen kontroll spørsmål.

[Horrorbyte]

Jeg vet ikke om det er regulert av lov eller forskrift, men Datatilsynet anbefaler at passord skal «krypteres» (men rent teknisk bør passord sikres med kryptografisk hashing, som ofte omtales som kryptering når det presenteres for vanlige folk uten IT-utdannelse).

 

Det er jo åpenbart problematisk at de kan se passordet, og rett ut alvorlig at de opplyser om det til noen andre over telefon uten krav om autensiering. Dette tydeliggjør likevel bare det rådet som vi som driver med informasjonssikkerhet i årevis har forsøkt å få folk til å forstå; ikke bruk samme passord flere steder.

[Æsculap]

ikke bruk samme passord flere steder.

Joa, kjenner til dette rådet, men samtidig så er det blitt en trend at samtlige bedrifter/nettsamfunn krever unik registrering på deres side! Jeg er sikkert registrert på 20-30 sider.

[Darkbill]

Jeg ville klaget på at de ikke sjekker at du faktisk er riktig person ihvertfall, og bare gir det ut uten videre....

[Horrorbyte]

 

ikke bruk samme passord flere steder.

Joa, kjenner til dette rådet, men samtidig så er det blitt en trend at samtlige bedrifter/nettsamfunn krever unik registrering på deres side! Jeg er sikkert registrert på 20-30 sider.

 

Ikke mer? Jeg er registrert på hundrevis, og jeg bruker unike passord på dem alle. Husker jeg dem? Nei. Jeg skriver dem ned.

[Tommywelle]

Tusen takk for svar.

 

Okay, så det går egentlig på hvor mye jeg ønsker og sikre meg med passordet? Det er ikke noen spesiell lov om at bedrifter MÅ ha krypterte passord? Men trodde brudd på autentiseringen var ganske alvorlig, jobber selv i Telenor kundeservice og det er hvertfall strengt mtp det der.

[Nevnarion]

Syns definitivt ikke dette er noe de burde ha mulighet til å se i det hele tatt. Det eneste de burde ha tilgang til er å eventuelt sende ut nytt passord. De burde også være meget kritiske på hvem de utgir passord til, det skal i utgangspunktet kun skje på forespørsel fra kontoeier.

Ser på det som ganske bekymringsverdig og uprofesjonelt at de bare helt ukritisk ga deg både brukernavn og passord.

Nå vet jeg riktignok ikke så mye om hvordan reglene for dette er på den type nettsider. Jobber selv i bank, og der er det i hvert fall meget strengt.

Endret 9. oktober 2014 av Nevnarion

[nomore]

Her kan det jo være litt nyttig info: http://www.datatilsynet.no/Sektor/Salg-handel/