Sunday, February 06, 2011

Jeg_VilVite!


Merk: VilVite har respondert på dette blogginnlegget, se kommentarer på slutten. Stor takk til god og rask respons fra VilVite!
Søndag 6 februar var jeg på VilVite senteret i Bergen, med min datter og en av hennes venninner. Et fantastisk sted for både store og små, med leker og aktiviteter av den typen som er både morsomme og lærerike. I tillegg har de alle en flott forankring i vitenskapens verden. Så gøy at vi forlengst har anskaffet oss årskort. Men så var det dette med sikkerhet da....

VilVite senteret bruker RFID brikker som adgangskort, både for dagsbesøk og for årskort, slik vi har. Ved å bruke disse elektroniske kortene kan man registrere seg med navn og e-post adresse, og deretter registrere sin innsats på flere ulike aktiviteter. (Videoen over er fra dagens kjøring av Sentrifugalskapen, en sykkel hvor du tråkker deg rundt til bildet går i svart, eller de ansatte stopper deg. Hva gjør man ikke for sin datter?)

Jeg ble gjort oppmerksom på muligheten for registrering og uthenting av video fra Sentrifugalskapen i dag, og registrerte meg rett etter på en av de mange utplasserte terminalene deres. Enkelt og greit, e-post adresse og passord (krav: minimum 8 karakterers lengde).

Da jeg kom hjem hadde jeg fått e-post fra Vilvite, med mitt passord oppgitt i klartekst, og beskjed om at jeg kunne logge meg inn på websidene deres. Allerede litt irritert går jeg inn på www.vilvite.no, og derfra videre til minside.vilvite.no. Jahaja. Ingen bruk av SSL kryptering ved innlogging.

Enkelt oppsummert:
VilVite senteret, sammen med sine 2 utviklere, Expology og FuggiBagi Design, bryter altså to av de aller mest elementære regler for sikkerhet i Internett løsninger:

1. Bruk alltid SSL kryptering for å beskytte minimum innlogging, helst alt innhold av personlig karakter.
2. ALDRI ALDRI ALDRI lagre eller sende brukeres passord i klartekst, men implementere en enkel løsning for å resette passord dersom brukeren har glemt det.

Tålmodigheten ble ikke bedre da det ikke var noen mulighet for å slette enkeltelementer fra min profil (f.eks. dagens video), eneste alternativ jeg fant var å slette hele min profil.

Så jeg vil gjerne vite om VilVite vil endre på sin løsning, slik at den bedre ivaretar personvernet til barn og voksne som benytter deres mange muligheter?

3 comments:

  1. Apropos #1:
    dersom cookies benyttes til sesjonshåndtering - sørg for at cookies alltid sendes kryptert.
    Jfr. Firesheep.

    ReplyDelete
  2. Takk for bloggposten med ros og ris! Vi har planer om å endre systemet for passord og tilføye kryptering. VilVite.no er under utvikling med nytt utseende og nye funksjoner og vil bli sikrere når denne prosessen er ferdig. Ingen passord ligger i klartekst i databasen vår, men er kryptert med MD5, som du nok kjenner godt til.

    Hva vi kan gjøre raskt, avhenger av flere forhold enn jeg kan gå inn på her. Vi ser på muligheten for å endre til HTTPS på koblinger som krever innlogging og samtidig endre praksisen med å sende ut epost med passord til gjester som registrerer seg på vitepunktene våre.

    Når det gjelder slettefunksjon på videoer, kommer også det i neste versjon av løsningen.

    Takk for input og konstruktiv kritikk av siden vår! Vi inviterer deg gjerne til evaluering av ny versjon.

    Christian Leon Christensen
    epost: clc@vilvite.no

    ReplyDelete
  3. Takk for respons, slikt fortjener ytterligere skryt fra min side.

    Utsendelse av passord i form av engangskode integrert i en URL som kun er gyldig i en kort tidsperiode og som må skiftes ved første gangs bruk er en måte å sikre det litt bedre på. Mailserver kan utstyres med støtte for STARTTLS (RFC3207) for å heve listen et ørlite hakk. Mailen kan også være så anonym som mulig: "her er informasjonen du trenger til vilvite.no".

    MD5 regnes i stadig større grad som usikkert, selv om god salting gjør det bedre. Bedre å satse på en variant av SHA, da har dere bedre bedre perspektiv fremover ift hva som er/blir standard.

    Gleder meg til oppdaterte sider, og kommer selvfølgelig tilbake til senteret for å leke og lære. :-)

    ReplyDelete

All comments will be moderated, primarily for spam. You are welcome to disagree with my posts of course.