Ekspert om omfattende SSL-sårbarhed: Derfor skal du skifte alle dine kodeord

Den netop afslørede sårbarhed i OpenSSL er ikke kun et problem for indehavere af servere, men i høj grad også for de brugere, der har været koblet op til dem. Derfor bør alle finde sig nogle nye passwords.

Denne gang kom ulven. Den sårbarhed, der har befundet sig i flere udgaver at det udbredte OpenSSL-bibliotek siden 2012, bør give anledning til, at folk over en bred kam udskifter deres kodeord. Det mener Version2-blogger med forstand på it-sikkerhed Henrik Kramshøj fra Solido Networks.

»Internettet er gået helt bagover. Det er ret alvorligt, det må man sige,« siger han.

Da OpenSSL er særdeles udbredt og blandt andet bliver anvendt i den populære Apache-webserver, taler sandsynligheden for, at adskillige brugere verden over uforvarende har været i kontakt med en sårbar server. Det er eksempelvis kommet frem, at Yahoo og Flickr har været berørt af sårbarheden.

Det betyder i udgangspunktet også, at brugernes brugernavn og password kan være havnet i hænderne på uvedkommende.

Læs også: Alvorligt sikkerhedshul i openSSL opdaget efter to år

Derfor opfordrer Henrik Kramshøj i udgangspunktet alle til at skifte kodeord. Og i øvrigt vænne sig til at bruge forskellige kodeord og udskifte dem løbende, så alle kodeord eksempelvis er udskiftet efter ét år.

»Det vil være den sikre måde at gøre det på. Der er så mange services på listerne (over sårbare services, red.). Enten skal man gennemgå listerne og finde de services, man bruger, eller også skal man bare sørge for at skifte passwords jævnligt.«

Sårbarheden, der er fikset i OpenSSL 1.0.1g fra april i år, relaterer sig til OpenSSL's implementering af heartbeat-udvidelsen til TLS/DTLS-sikkerhedsprotokollerne, oplyser Codenomicon, virksomheden bag opdagelsen, på en hjemmeside om sårbarheden. Sårbarheden har fået navnet 'heartbleed', et ordspil på heartbeat.

Den bevirker - i princippet - at hvem som helst kan koble op til en sårbar server og få serveren til at returnere dele af sin hukommelse. Det vil blandt andet sige serverens private nøgle, som gør det muligt for en angriber at udgive sig for at være en valid server - også kaldet et man-in-the-middle-angreb. Men det bliver værre.

Med snablen nede i serverens hukommelse er det muligt at fiske brugernavne, kodeord og andet ud af serveren. Det er også den indholdet af chats, mails, serverkonfigurations-oplysninger osv. Altså data, som netop kan have været grunden til at beskytte serveren med SSL-kryptering i første omgang. Og det er med det i baghovedet, at Henrik Kramshøj i udgangspunktet opfordrer alle til at skifte deres kodeord:

Læs også: Opdater OpenSSL - og dit OS nu

»Det svarer til at sætte post-its med brugernavn og kodeord på serveren fra alle dem, der besøger dem, som så kan samles op bagefter.«

Henrik Kramshøj har selv skrevet en guide til, hvordan server-bestyrere bør forholde sig til sårbarheden. Han gætter, at mange har opgraderet eller er i gang med at opgradere deres server-software eller beskytte den på anden vis, blandt andet fordi medieopmærksomheden på OpenSSL-sårbarheden har været ganske intens.

Men der er stadig al mulig grund til at være på vagt, selvom der er en grøn hængelås eller noget, der minder om det, i browser-vinduet.

»Der er helt sikkert en masse mennesker, der ikke har opfattet, hvor alvorligt det her er - det er drønalvoligt,« siger Henrik Kramshøj.

Det er svært at vide, præcist hvor mange servere der har været eller er berørt af problemstillingen. Ligesom sårbarheden ifølge Codenomicon kan udnyttes ganske diskret, så det slet ikke bliver registreret på serveren.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (22)
Benny Jensen

jeg, som mange andre, bruger de samme på kodeord på utallige sider for at have en chance for at huske dem. Kan det betale sig jeg skifter dem alle, når jeg ikke ved om de forskellige hosts har patched deres openssl?

Min bekymring er om jeg så alligevel ikke bare giver mit nye password i stedet.

Pelle Söderling

Online-attacks er sjældent et problem hvis dit password ikke er på top 100 listen over mest brugte passwords, så det vi primært har brug for at koncentrere os om er offline-attacks og begrænse omfanget af problemet så det ikke spreder sig til andre sider du har oprettet dig på.

Modsat hvad de fleste eksperter er inde på mener jeg ikke løsningen er at opfinde super komplicerede passwords til dette formål - de er svære at huske, så vi ender med at bruge det samme overalt og det øger reelt risikoen i et offline-attack scenarie hvor en angriber har massere tid til at kværne løs på hvad end hashing der nu er brugt (man kan jo håbe de har anvendt ordentlig hashing, men faktum er at det er tilfældet for et fåtal af sider - de fleste anvender blot en simpel hashalgoritme med et salt og tror det er godt).

Jeg ser kun én løsning på problemet, anvend forskellige passwords på forskellige sider.
Det bedste er hvis du kan komme op med et pattern som du kan tilføje til dit standard let-huskelige password.
(logikken her værende at det er bedre at have forskellige - omend lette passwords - til alle sider end et kompliceret "master-password")

Et par eksempler på patterns tilføjet et simpelt standard-password "Hugo":
1) "Hugo" + første og sidste bogstav i domænenavnet eg. "Hugov2"
2) "Hugo" + første og sidste bogstav i domænenavnet hvor alfabetet shiftes X pladser, eg. X = 1: "HugoW3"
3) "Hugo" + antallet af bogstaver i domænenavnet uden endelse eller subdomænedelen eg. "Hugo8"

Istedetfor at appende det kan man også prepende det eller f.eks. skyde det ind i midten eg. "Huv2go".

Brug fantasien, det vigtigste er at vi ikke allesammen anvender det samme pattern - pointen her værende at ingen kigger på dit password i en database med hundrede tusinder eller millioner af brugere, det bliver altid automatiseret ovenpå når disse username/password kombinationer forsøges brugt til at overtage din konto på andre sider du måtte være oprettet på. Det må forventes at når patterns ala ovenstående bliver udbredte så begynder man også at automatisere de mest åbenlyse i et attack - derfor forsøg at komme op med dit eget unikke pattern (og brug kun mine eksempler ovenfor som inspiration).

Med ovenstående model behøver du heller ikke en password manager til at holde styr på dem i (som er lidt som en pung hvor man kan miste alle sine penge på en gang), det har nemlig også sine sikkerhedsmæssige udfordringer og kan være et problem hvis den ikke er cloud baseret for hvad så når du vil logge på fra din telefon eller tablet? og tør man virkelig stole på krypteringen af en som er cloud-baseret? Og selv da understøttes så alle ens mobile OS'er etc.?

Med ovenstående model skal du blot huske dit lette standard-password og dit pattern - så er du kørende.

OBS: Brug stadig et stærkt password med høj kompleksitet til NemID og lign. services. Ovenstående model er beregnet til brugerkonti på alle mulige mere eller mindre "ligegyldige" sider ala din debat-konto her på version2, hvor det væsentlige er at et offline attack på v2's database ikke betyder du er i risiko for også at få overtaget din konto på 117 andre mere eller mindre "ligegyldige" sider du måtte anvende.

TL;DR istedetfor komplekse passwords, så brug variationer over dit simple let-huskelige password til "ligegyldige" sider ved at tilføje et mønster.

Hans Schou

Det lyder næsten som PKI ;-)


Vi mangler altså et bedre ord for det. Til dem der ikke gider slå det op, så betyder PKI "Public Key Infrastructure". Jeg prøver så at nå publikum med "client certificate", som om de fleste ved hvad et "server certificate" dækker over, og derfor hurtigt kan regne ud at "client certificate" er noget man har i sin egen browser. Men jeg har nok lige så lidt held med det som, som du har med PKI.

Krypteringsnøgle på mere end 2048 bit (et 256 tegn langt password) der er hemmeligt og ingen andre end skaberen har været i nærheden af det. Som en anden Ymer trækker man så en offentlig nøgle ud af dette 256 tegn password. Denne offentlige nøgle, eller rettere et mindre destilat af det (fingerprint), giver jeg så til gud og hvermand og den server jeg vil logge ind på. Det burde være muligt at forklare det til en tekstforfatter, der så kan finde på et bedre ord for det.

Henrik Kramshøj Blogger

jeg, som mange andre, bruger de samme på kodeord på utallige sider for at have en chance for at huske dem. Kan det betale sig jeg skifter dem alle, når jeg ikke ved om de forskellige hosts har patched deres openssl?

Jeg mener det er tvingende nødvendigt idag at bruge forskellige passwords på forskellige services. Hvis det betyder at du skal have en kodeordshusker, so be it! Der er alt for mange tilfælde hvor kodeord er lækket, søg blandt andet på Evernote, Twitter, LinkedIn m.fl. som er bare nogle af de steder hvor mine egne koder potentielt er lækket.

Jeg bruger den indbyggede Mac Keychain app (uden iCloud sync) men der findes både gratis og købe programmer.

Det VÆRSTE du kan gøre er at være doven og ikke undersøge rigtige kodeordshuskere og bare gemme det i en Word fil!

Michael Thomsen

Det VÆRSTE du kan gøre er at være doven og ikke undersøge rigtige kodeordshuskere og bare gemme det i en Word fil!


En word fil er da mindst lige så sikker som en kodeordshusker, som du ikke aner hvordan krypterer dine data, om overhovedet. Og hvordan kan du være sikker på, at til program ikke uploader data til internettet? Det er de færreste, som har styr på deres firewall..

Laurids Pedersen

De efterhånden udbredte krav om at blande store og små bogstaver og tal og ligefrem specialtegn øger ikke sikkerheden ret meget, og gør det næsten umuligt at huske. Har man f.eks. 70 tegn at vælge mellem, giver et 8 tegns password 70^8 muligheder. Med 26 mulige tegn (lutter små bogstaver) behøves blot 2 tegn mere for at give samme antal kombinationer. Så mange kombinationer er det urealistisk at afprøve med rå regnekraft. Selv med millisekunders responstid, vil der gå flere hundrede generationer før man bliver færdig. Falsk sikkerhedsfølelse.

Jeg har lavet en simpel passwordgenerator der bruger 7 tegn skiftevis vokaler og konsonanter, men helt tilfældigt. Disse passwords er lette at huske (og udtale). Det giver 34 millioner kombinationer. Da de er til manuelt brug, kan man sagtens give serveren et sekunds responstid (en brøkdel af NemID applettens load time). Det vil tage en hacker i gennemsnit 17 millioner sekunder eller et halvt år at finde det rigtige. Godt nok til mig. To tegn mere, og det bliver næppe i hackerens levetid.

Pelle Söderling

Laurids: Det er det folk oftest går fejl af - online attacks er ikke særlig interessante, de er lette at undgå og de fleste services sparker også folk af hvis de prøver forkert password for mange gange i træk - så udover at latency også dræber bruteforce så er det et ret teoretisk scenarie.

Offline attacks derimod er det helt store problem og det er lidt ligegyldigt hvor komplekst dit master-password er hvis en af de sider du anvender ikke lagrer det på sikker vis og får deres database kompromiteret.

Det værste tilfælde er selvfølgelig hvis de lagrer det som plain tekst, men selv hashing redder sjældent meget for de fleste ved ikke nok om det og implementerer det forkert så sikkerheden er stortset lige så god som plain tekst scenariet hvis "hackerne" ved hvad de har med at gøre.

Den eneste løsning på problemet er ikke at genbruge sine passwords imellem alle de her forskellige services så du højest får din konto kompromiteret ét sted såfremt de har sjusket med sikkerheden.

Mit ovenstående indlæg beskriver en metode hertil uden at gøre brug af password managers som i sig selv introducerer en række sikkerhedsproblemer, men det er værd at nævne at password managers trodsalt er langt bedre end at genbruge sit password rundt omkring - uagtet hvor komplekst et password du kommer op med.
(givet at du altså stoler på producenten af din password manager)

Mogens Hansen

Det bedste er hvis du kan komme op med et pattern som du kan tilføje til dit standard let-huskelige password.
(logikken her værende at det er bedre at have forskellige - omend lette passwords - til alle sider end et kompliceret "master-password")


Det er ikke en teknik jeg ville anbefale. Hvad gør du, hvis en ond sysadmin gennemskuer dit system? Så ligger alle dine konti piv-åbne.
Jeg har det sidste års tid brugt KeePass, der gør det rigtig nemt at gemme forskellige passwords til forskellige services. Det kan generere passwords af forskellig hårdhed og længde, og når du skal bruge dem igen kan de fleste operationer klares med et Ctrl-V der udfylder både brugernavn og password på én gang. Det letter irritationen over at skulle starte et separat program op ganske gevaldigt.
En interessant konsevens er, at jeg nu ikke kender nogen som helst af mine ca. 50 passwords - bortset fra det lange, komplekse jeg har til at åbne min KeePass database.
Et andet skridt jeg tager er, at hvis jeg ikke forventer at bruge en service særligt ofte, så laver jeg en engangskode som jeg ikke gemmer noget sted. Når jeg så kommer tilbage efter nogle måneder/år, så bruger jeg blot "glemt password" funktionen på websitet.
Begge dele sikrer mod, at en ond sysadmin f.eks. aflurer systematiske passwords som dem der er citeret.

Henrik Kramshøj Blogger

En word fil er da mindst lige så sikker som en kodeordshusker, som du ikke aner hvordan krypterer dine data, om overhovedet. Og hvordan kan du være sikker på, at til program ikke uploader data til internettet? Det er de færreste, som har styr på deres firewall..

Trist indlæg, fordi det er så fyldt med mismask :-( Sorry, du er helt galt på den, skadeligt ignorant, ...

Word eller kodeordshusker - begge kan du ikke være sikker på om uploader, begge dele skal du undersøge om du stoler på producenten.

kodeordshusker fortæller hvordan de krypterer, evt. kan du finde en open source og selv checke

kodeordshusker har typisk andre funktionaliteter, som at tømme copy-paste buffer efter x sekunder, så du ikke uforvarende kommer til at paste dine koder andre steder, osv.osv. Der er SÅ mange gode grunde til at bruge et specialiseret program udviklet til formålet, fremfor en tekstbehandler som man VED lægger temporære kopier af data andre steder på disken, som aldrig har haft god kryptering, osv.

Du har TYDELIGVIS ikke undersøgt emnet bare minimalt når du kan komme med sådan et indlæg ...
Beklager hvis det lyder hårdt, men damn det er irriterende at folk på internet har lov til at sige hvad de vil, tænk hvis nogen lytter til det du sagde der :-( Velkommen til min mentale ignore liste.

Pelle Söderling

"Hvad gør du, hvis en ond sysadmin gennemskuer dit system?"

Først og fremmest - lad os lige blive enige om at i den nuværende model hvor folk genbruger deres passwords - så er der intet at gennemskue i dette tilfælde.
For det andet så vil jeg foreslå at det pattern man kommer op med ikke er let gennemskueligt ud fra blot et enkelt password (det skal helst kræve flere for at det bliver let at gennemskue det) - ikke alle mine nævnte patterns er optimele i dette scenarie, det er også derfor jeg siger de kun skal bruges som inspiration - find selv på et unikt pattern der ik er let gennemskueligt ud fra kun ét password.

Et af problemerne med Password Managers er at det nytter ikke noget det kun virker fra din laptop hvor du har denne installeret - idag har vi så mange devices, måske har jeg en Windows laptop, en iPad tablet og en Android mobiltelefon hvis jeg er sær nok (hvilket faktisk er præcis hvad jeg har ... ) - uanset hvad device jeg er på er det da vigtigt at jeg kan tilgå alle mine services og det stiller store krav til password manageren, som både skal være cloud baseret og multi-platform for at kunne understøtte dette ret typiske brugerscenarie.

Derudover er der stadig et master-password til denne key manager, som hvis nogen somehow opsnapper dette åbner op til alle dine services og måske endda også mere kritiske systemer såfremt du stoler nok på denne til også at notere passwords til disse ned heri.

Det er imo ikke den hellige gral, men jeg vil da gerne høre hvilke password managers andre benytter som opfylder ovenstående krav.

Stig Andersen

Indrømmet - dette er ikke mit speciale, men et lille pip. I f.h.t. at komme op med en lang og dermed mere sikker adgangskode, som man måske bedre kan huske end ét "ord" med sære tegn, så kan man tænke i passphrase. Dvs. at bruge en sætning, der jo let bliver lang men er nem at huske og måske øger sikkerheden. Fx "Kodeord er træls", "Spar på vandet" eller lign. Det gør jeg selv. Der er kun få problemer jeg støder på: Når der kræves både tal og bogstaver, men det kan løses med en tal-sætening ("B1909 vinder snart"), og når systemet ikke kan arbejde med mellemrum, men der kan man så bruge de gamle underscores ("B1909_vinder_snart").

Kristian Thy

Jeg begyndte at bruge det for et års tid siden og har ikke set mig tilbage. Der er også en Android-app, så jeg skal bare flytte databasen fra min laptop til telefonen en gang imellem for at holde begge devices opdateret.

Michael Thomsen

kodeordshusker fortæller hvordan de krypterer, evt. kan du finde en open source og selv checke


God fornøjelse med at gennemgå opensource. OpenSSL har netop bevist, at ingen gennemgår selv sikkerhedskritisk gode særligt grundigt, selvom det er tilgængeligt som open-source.

Og god fornøjelse med at stole på din på din kodeordshusker. Men du er vel typen, som også tager et billede af dit nemid og tror, at det er sikkert.

Du har TYDELIGVIS ikke undersøgt emnet bare minimalt når du kan komme med sådan et indlæg ...
Beklager hvis det lyder hårdt, men damn det er irriterende at folk på internet har lov til at sige hvad de vil, tænk hvis nogen lytter til det du sagde der :-( Velkommen til min mentale ignore liste.


Lige over.

Bjarne W. B. Petersen

Fra et bruger perspektiv er vi efterhånden ikke nået derhen hvor det står klart at password som sikring af ens konti er værdiløs uanset hvor kreativ man er?

Som almindelig bruger er det ret træls at man med jævne mellemrum skal tvinges til at skifte sine 130+ passwords samtidig med at man (i princippet) skal være ultra kreativ og unik for hvert enkelt password, bogføre og holde "regnskab" med dem alle og gemme dem på krypteret og hemmelig nemlig måde.

... hvor ville det være rart med "One Login To Rule Them All" (fx. OpenID) med noget 2-faktor (fx. Google). Det virker jo.

Så hvorfor skal fx. enhver webshop kræve at man opretter en konti med dertilhørende password-rod frem for at kunne logge på med OpenID.

Måske et krav for e-mærket at kigge nærmere på?

Log ind eller Opret konto for at kommentere
Pressemeddelelser

Welcome to the Cloud Integration Enablement Day (Bring your own laptop)

On this track, we will give you the chance to become a "Cloud First" data integration specialist.
15. nov 2017

Silicom i Søborg har fået stærk vind i sejlene…

Silicom Denmark arbejder med cutting-edge teknologier og er helt fremme hvad angår FPGA teknologien, som har eksisteret i over 20 år.
22. sep 2017

Conference: How AI and Machine Learning can accelerate your business growth

Can Artificial Intelligence (AI) and Machine Learning bring actual value to your business? Will it supercharge growth? How do other businesses leverage AI and Machine Learning?
13. sep 2017