RE: [SIGNATUR] ComputerWorld: Alvorlig sikkerhedsbrist ved TDC-signatur

[Peter Lind Damkjær <sslug@sslug>]

Hej Egon,

Det sker ved at TDC CSP (i MSIE) og OpenCert/Java-applet ved certifikatinstallationen gør brugeren opmærksom på at passwordkravene ikke er opfyldt.

Du har ret i at brugere efterfølgende KAN manipulere sig ud af passwordkravene (men hvorfor skulle man egentlig det, da man dels herefter ikke overholder vilkårene og dels sænker sig egen sikkerhed????).

Men TDC ønsker at sikre at brugeren ikke KOMMER TIL at vælge et password der ikke opfylder kravene. Og det ændrer ikke på at vi ØNSKER at anvende standarder således at infrastrukturen kan anvendes uafhængig af platform.

Venlig hilsen
Peter Lind Damkjær
TDC Erhverv

-----Original Message-----
From: Egon Andersen [mailto:sslug@sslug 
Sent: 12. maj 2004 09:11
To: sslug@sslug
Subject: Re: [SIGNATUR] ComputerWorld: Alvorlig sikkerhedsbrist ved TDC-signatur


Peter Lind Damkjær wrote:
> Hej Carsten,
> 
> TDC ønsker at sikre at en bruger ikke KOMMER TIL at vælge et password, 
> der ikke opfylder krav i kundevilkårene:
> 
> <snip>
> Den private nøgle skal opbevares krypteret og beskyttet af en 
> aktiveringskode. Aktiveringskoden skal bestå af mindst 8 tegn og indeholde mindst et lille og et stort bogstav samt et tal (eksempelvis G2uw3KMs). Aktiveringskoden skal skiftes hver 3. måned.
> </snip>
> 
> Der ER godt nok et "Password quality meter" i Netscape/Mozilla, men 
> dette er af gode grunde ikke relateret til OCES password-kravene.
> 

Og hvordan er det så lige at dette sikres ved at man skal enten 
eksportere fra Internet Explorer eller OpenOCES først og så dernæst 
importere i Mozilla?

Med venlig hilsen
Egon Andersen