Vlákno názorů k článku
GitHub vyzval část uživatelů ke změně hesla, omylem si některá uložil
od agent - Také na jednom svém veřejném webu jména a...
-
Ondra Satai NekolaZlatý podporovatelTakže z logů jde vyčíst stringy, co jsou hodně podobné existujícím heslům?
Co by se asi tak mohlo pokazit?
-
Filip JirsákStříbrný podporovatelProvozovatel heslo nepotřebuje vůbec k ničemu – existují jednoduché metody přihlášení, u kterých serveru stačí znalost hashe hesla. Ale když uživatelé hesla serverům pořád posílají, neměli by se divit, že servery se ta hesla dozví a mohou je ukládat třeba do logů. Pořád se řeší jen následek a ne příčina.
-
null null (neregistrovaný)
@P K
Aha, takže když se seknu o písmenko, tak se pak někde v logech nachází moje téměř přesné heslo a ty logy se pak přeosílají po ajťácích z firmy, válí na fleškách a kdoví kde, když se řeší nebo dohledává cokoliv?
No paráda ... To se pak nedivím, že některé nezajímá HTTPS, když provádí takové věci ... -
mngnt (neregistrovaný)
Pôžitkár, agent: poprosim vas, dali by ste nam tu vediet, ake sluzby vy prevadzkujete? Ja len ak mam u vas nahodou ucet, rad by som si ho okamzite zmazal a pri troche smoly budem musiet menit hesla inde (ano, som vinny z obcasneho password reuse na throwaway sluzbach).
Ako k tomu pristupuje legislativna ochrana osobnych udajov? Ak poziadam, musia z logov odstranit moje udaje (IP, meno heslo) ak su zalogovane?
-
Filip JirsákStříbrný podporovatel
Ta vaše takřka bezmezná důvěra je pozoruhodná. Vy se dozvíte, že někdo zapisuje do logu hesla při neúspěšných pokusech o přihlášení, ale stejně věříte, že všichni ostatní s vaším heslem zacházejí velmi opatrně a nemohou ho kompromitovat ani chybou natož úmyslně.
-
null null (neregistrovaný)
Pokud se chceš někam opakovaně přihlásit, tak vždycky musíš něco posíla, nebo něco někde ověřit, přeposlat nebo nějak verifikovat. A vždycky je nějaká možnost, že ten, kdo by to měl ověřit, předat nebo s tím pak zachází, to může zneužít.
Ale evidentně, když tak potutelně pořád naznačuješ jak je metoda hesel zastaralá a všichni jsou hloupí a čekáš až ti někdo odpoví abys tu mohl rozjet svůj učební kurz, tak bys mohl teda konečně prozradit, která že je to ta metoda přihlášení, která jde nasadit masově a nejde jí nikým nikde podrazit nohy nějakým podobným diletatstvím ....
-
Filip JirsákStříbrný podporovatel
A vždycky je nějaká možnost, že ten, kdo by to měl ověřit, předat nebo s tím pak zachází, to může zneužít.
Aha, to jsem nevěděl. Jak konkrétně může server zneužít známé údaje při autentizaci na základě veřejného a soukromého klíče? Nebo abychom byli konkrétní a zůstali u webu, při autentizaci klientským certifikátem přes HTTPS? A ještě jeden případ – jak konkrétně může server zneužít uložený hashMD5(username:realm:password)(kromě uživatelského jména server žádný jiný údaj ke konkrétnímu uživateli nemusí znát) při HTTP autentizaci stařičkou metodou Digest? Dnes už je samozřejmě možné použít daleko modernější algoritmy, např. aspoň SHA-2 místo MD5, ale jde o ten princip. -
Filip JirsákStříbrný podporovatel
Kentan z Montargi: Ne, v mém komentáři je napsáno něco úplně jiného. Jsou to dost základní věc. Chápu, že vůbec netušíte, o čem se v tom komentáři píše, ale v takovém případě je chyba, že se vůbec pouštíte do diskuse o něčem, o čem vůbec nic nevíte.
Já jsem věděl, že na notorického trolla nemám reagovat. No nic, tak se zase vracíte do ignore.
-
null null (neregistrovaný)
Jaký trolling?
Tak tvrdíš, že jsou lepší metody než posílání nějaké hesla někam, ale vysvětlit jaké a teda jak řeší ten samý problém, tedy že ten, kdo to zpracovává, nebo to ukládá či generuje to podělá svým diletantstvím, to už jaksi neumíš? Stejně nakonec někomu věříš, že to dobře zpracuje nebo vygeneruje ... Jenom mě zajímá, jaký je teda ten způsob, který se nedá sabotovat výrobcem nebo provozovatelem? -
mngnt (neregistrovaný)
Suhlasim, dnes verit netreba. doba je surova. Ale vsetky online sluzby su postavene na dovere: dovere, ze ked sa zaregistrujem, ze pod mojim menom budu moje nakupy a moje prispevky na fore, ze sa k mojmu uctu neprihlasi kazdy, kto je kamarat s adminom a podobne. Keby to tak nebolo, neregistrujem sa nikde a rovno strihnem WAN kabel od routra.
Ako pisem, hesla opakujem len na sluzbach, na ktorych mi nevelmi zalezi: nejake fora, ktore vyzaduju login na pozeranie priloh (ubuntuforums.org kedysi), nejake stranky, ktore maju pre mna dolezity obsah za loginom, stranky, kde mozem stiahnut SW len po registracii, proste sluzby, ktore vyuzijem raz a zbohom. Aj to len niekedy, obvykle guerilla mail a jednorazove heslo.
Kazdy prevadzkovatel nejakej takejto sluzby by mal citit istu zodpovednost voci zakaznikovi/uzivatelovi, najma ak to so svojou sluzbou mysli vazne a chce mat nejaky dlhodoby vztah so zakaznikom (ako github zjavne chce).
ČLÁNKY DO MAILU