20110412 Klartext-Passwort Speicherung in Frankreich

12.04.2011 Klartext-Passwort Speicherung in Frankreich

12.04.2011: France to require cleartext password storage

Das neue Gesetz zur Vorratsdatenspeicherung in Frankreichs fordert von Online-Providern, dass sie in ihren Datenbanken neben den Nutzeradressen mit echten Namen auch die Passwörter speichern und auf Verlangen der Polizei übergeben. Die birgt die Gefahr von Identitätsdiebstahl, aberdas Risiko Klartext-Passwörter zu speichern ist der absolute Wahnsinn.

Gut konzipierte Systeme speichern keine Passwörter, sondern prüfen das Passwort anhand eines kryptografischen Hash-Algorithmus. Auf diese Weise muss niemand - nicht einmal der Provider - das Passwort kennen. Insofern ist die französische Regelung nach Registrierung von Klartext-Passwörtern eine Umkehrung der jahrelangen Sicherheit beim Einsatz von Passwörtern.

Mehr dazu bei http://www.boingboing.net/2011/04/11/france-to-require-cl.html?dlvrit=36761

Anmerkung: Wir berichteten darüber und können nur den Kopf schütteln bei soviel Dreistigkeit! Frankreich hat da ja schon Tradition, denn Verschlüsselung war in Frankreich 1990-96 völlig verboten aber das Internet hat keinen Bogen um das "gallische Dorf" gemacht. (siehe dazu http://merlin.obs.coe.int/iris/1998/4/article17.de.html
Décret n° 98-101 du 24 février 1998 définissant les conditions dans lesquelles sont souscrites les déclarations et accordées les autorisations concernant les moyens et prestations de cryptologie, Journal Officiel du 25 février 1998
Verordnung Nr. 98-101 vom 24. Februar 1998 zur Definition der Bedingungen für die Anmeldung und die Erteilung der Zulassungen betreffend Verschlüsselungshilfsmittel und -dienste, Staatsanzeiger vom 25. Februar 1998 )

Die Daten, die künftig in Frankreich gespeichert werden sollen sind:

- die Kennung bzw. der Benutzername der Verbindung oder der Benutzername für die Herkunft einer Kommunikation;
die Kennung, die den Abonnenten zugeordnet wird;
die Kennung des Endgerätes des Zugangs;
Datum und Uhrzeit von Beginn und Ende der Verbindung;
die Art und Merkmale der Leitung des Abonnenten;
die Art der verwendeten Protokolle für Verbindung und Übertragung von Inhalten;
die Art der Operation;
voller Name oder Firmenname;
Postanschrift;
verwendete Pseudonyme;
E-Mail-Adressen;
Informationen über Zahlungsvorgänge (z.B. Betrag, Datum und Uhrzeit);
Telefonnummer;
das Passwort in der aktuellsten Version sowie alle Daten, die dazu beitragen, es zu überprüfen oder zu ändern.