How to become an author
Search
Write a publication
Pull to refresh

Comments 55

UFO just landed and posted this here
keepassX рекомендую, ну или хотя бы в архив с паролем положите.
Total votes 9: ↑5 and ↓4+1
Домен plaintextoffenders.com был зарегистрирован 5 апреля… и всего 9 сайтов в базе.
Не рановато для «анонса», alizar? :)
А сам могу к списку таких сайтов отнести еще и SuperJob.ru
Total votes 8: ↑8 and ↓0+8
>Продвинутым пользователям должно быть обидно, если они генерируют и запоминают 15-символьные пароли, которые так хранятся

Еще обидней будет тем, у кого пароли не уникальные.
Total votes 6: ↑1 and ↓5-4
Об этом в топике написано)
Как известно, многие люди склонны использовать одинаковые пароли для различных сервисов. Если в одном месте случилась утечка данных, то этот пароль может подойти и к его почтовому ящику, и к сервису онлайн-банкинга.
Total votes 5: ↑1 and ↓4-3
Да, они еще используют один и тот же ник, один и тот же реалнейм для этого ника. Как настоящий коммунист, следующие два аккаунта на левых ресурсах зарегистрирую с никами из этой темы (аватарки и профили, само собой, тоже будут «вперемешаны»).
Total votes 6: ↑4 and ↓2+2
P.S. Всего лишь практическая шутка. Не минусуйте :)
Total votes 7: ↑4 and ↓3+1
UFO just landed and posted this here
вместо пароля лучше присылать одноразовую ссылку для входа, где юзер сам введёт пароль который ему удобен
Total votes 6: ↑4 and ↓2+2
Убивать за такое на месте. Я, как пользователь, хочу ввести пароль и начать пользоваться сервисом сразу, а не ждать непонятной ссылки на почту
Total votes 12: ↑9 and ↓3+6
А я как пользователь не хочу, чтобы мой пароль приходил на почту, которая сам по себе ненадежна, так что видимо мы никогда не придем к консенсусу :)
This comment wasn’t rated yet0
А стандартная ситуация, когда ввел пароль на сайте и он не пришел на почту уже не рассматривается?
Total votes 2: ↑2 and ↓0+2
Хех, чего-то я видимо перетупил, я имел в виду момент восстановления пароля, при регистрации само собой вообще нафиг ничего не надо на почту :)
This comment wasn’t rated yet0
А какой смысл присылать мне на почту пароль, который я сам только что ввел вручную дважды? Чтобы за 20 секунд я его внезапно не забыл?
Total votes 10: ↑5 and ↓50
Чтобы потом можно было найти пароль на почте когда когда забыл его.
Total votes 8: ↑8 and ↓0+8
Храню пассы в черновиках на сообщение «вы зарегистрировались у нас, пароль не покажем». Так как логин на форум каких-нибудь любителей мучать линукс особых мер безопасности не заслуживает.
Total votes 3: ↑2 and ↓1+1
"-1? да я еще сканы банковских pin-конвертов храню!"
Total votes 2: ↑2 and ↓0+2
когда мой ящик сломали, там как раз такое письмо лежало с паролем открытым текстом. ах как я радовался-то :)
This comment wasn’t rated yet0
Сравните:

1. пароль лежит в почте в открытом виде на протяжении нескольких месяцев/лет на случай «если вдруг забуду»
2. пароль восстанавливается только если был забыт путём присылания на почту одноразовой ссылки для смены пароля

Какой вариант вам больше нравится?
This comment wasn’t rated yet0
Да. некоторые не дважды спрашивают — защита от опечатки, а некоторые вообще сами генерят и высылают.
Total votes 1: ↑1 and ↓0+1
Вот если сам сгенерил и выслал — это другой вопрос, но большинство, к сожалению, просят ввести пароль дважды, а затем сразу шлют его в открытом виде на почту.
Total votes 3: ↑3 and ↓0+3
У меня небольшая история по этому поводу. Нетривиальная, но какой-нибудь 1% случаев, когда нужно посмотреть на пароль, что ввёл во время регистрации, покрывает.
Вчера искал решение для простого удалённого управления компьютером. Среди прочего наткнулся на gotomypc.com. Ткнул в 30дневный триал, во время регистрации столкнулся с дурацким требованием — необходимостью использовать сложный пароль. Набрал дребедень всякую и скопировал в буфер обмена, с последующей целью перенести её в менеджер паролей. Но вот на следующем этапе регистрации попросили данные кредитки. Подумал и послал их нафиг.
Часом позже заглянул в почту — увидел от них письмо с предложением попробовать триал без ввода данных кредитки, согласился. По ссылке из письма сразу меня автоматически авторизировало. Но вот пароля к этому моменту я уже не помнил и не отказался бы от того, что-бы в следующем письме они мне его показали.
А теперь придётся использовать всякие «восстановления пароля», если ещё захочу их сервис попробовать ещё раз.
Total votes 1: ↑1 and ↓0+1
Ничего страшного в использования восстановления пароля нет. Я после переустановки системы или на новом компе так в скайп всегда захожу.
Total votes 1: ↑1 and ↓0+1
Дело не в том, что страшно, а в том, что лень. Они сами создали мне проблему, потребовав что-бы я использовал сложный пароль, который я почти сразу же «забыл».
This comment wasn’t rated yet0
Я обычно генерю пароль, вставляю его в письмо вместе с логином-паролем и ссылкой на сайт. Хеширую и солю пароль. Отправляю письмо. Пароль в открытом виде сбрасывается, хранится соленый хеш и соль.
Чем это удобно:
— У пользователя будет письмо с напоминанием что он у нас зарегистрировался.
— Пользователь может копипастить регистрационную информацию в KeePass
— Есть возможность распечатать и отдать секретарю
— Пользователь может хранить письмо в папке «Регистрации» (не безопасно но так делают)

Total votes 4: ↑3 and ↓1+2
Да, а если, как и сказано в топике, они хранят не только хэш пароля, но и архив отправленной почты?
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
ЧЕРДДДД!!! Удалите мой камент, это жалкие миллиарды, а там кластер :-(
Total votes 1: ↑1 and ↓0+1
Автор ошибся, в ссылке идет речь о 700 млн. Ну, а в вашей ссылке, насколько я понимаю, под биллионом подразумевается миллиард.
Total votes 1: ↑1 and ↓0+1
Да. Тогда снимаю пепел со своей головы, 12 и 45 млрд ключей в секунду есть :-)
Total votes 2: ↑2 and ↓0+2
Статья жутко однобока. Ах, мой пароль сохранили в плейнтексте… ужас, да. Вдруг недобросовестный сотрудник хостера базу дампнет.

Админ сайта с посещаемостью более 500 человек/день имеет доступ ко всем моим данным, включая личную переписку, только потому что может модифицировать любой файл.
При этом, каждому собеседнику на сайте приходится обьяснять на пальцах, почему я требую подписывать сообщения и в идеале переходить на секурный (с теми же подписями) джаббер.
Total votes 3: ↑3 and ↓0+3
Ну вот нашли о чем беспокоиться — здравствуй паранойя.
Total votes 3: ↑3 and ↓0+3
Есть конечно реально важные ресурсы, как google mail или аккаунт к яндексу. Но на многих ресурсах регистрируюсь и захожу один, два раза, только по тому, что мне нужна там ссылка, нужно что то прочитать и т.д., а это без регистрации невозможно. В этой ситуации я вообще не беспокоюсь о пароле на этих ресурсах и мне проще было бы если бы пароль приходил на мыло. Безопасность не должна превращаться в параною. Да а так я конечно использую робоформ.
Total votes 1: ↑1 and ↓0+1
А есть второстепенные ресурсы, которые могут повредить важным.
Например Fring хранит и высылает пароль в открытом виде, а поменять его можно только через саппорт.
При этом для использования программы в неё можно вводить google, yahoo, msn, twitter пароли. Если они основной пароль не защищают, то наверняка и остальные под угрозой.
This comment wasn’t rated yet0
>Продвинутым пользователям должно быть обидно, если они генерируют и запоминают 15-символьные пароли, которые так хранятся.

Продвинутым пользователям пофиг как они хранятся, у них все пароли разные и случайные. Юзайте менеджеры паролей.
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
Зачем минисовать, каждый имеет право делать как ему удобнее. Мне удобнее иметь менеджер паролей, не запускать трояны и не подпускать злоумышленников к рабочему месту. За последние 5 лет у меня ни разу не уводили пароли.
This comment wasn’t rated yet0
UFO just landed and posted this here
Обратите внимание на формулировку из топика:
На этом ресурсе ежедневно публикуются сайты, которые, возможно, хранят пароли в открытом виде.


Возможно??? А если какой-то из сайтов занесен туда случайно. Хранит он пароли в защищенном виде, но по каким-то причинам попал в блеклист. В случае общественного порицания это грозит сайту, быть может, потерей репутации и посетителей.

Если уж кто-то из составителей такого списка собрался кого-то осуждать, то, простите за французский, «за базар должен отвечать» ))

К слову на сайте plaintextoffenders есть фраза:
Here we put websites we believe to be practicing this to shame.


Собственно, не очень корректно это. Хотя, быть может, что в этом есть )
Total votes 3: ↑3 and ↓0+3
Общество без доверие — лишь голодная стая волков, только мяса пока всем хватает.
This comment wasn’t rated yet0
Сейчас добавлю паранои… Многие жаббер-ресурсы просто вынуждены хранить пароли открытым текстом. В xmpp есть очень популярный и довольно безопасный межанизм авторизации, который для своей реализации требует, чтобы сервер знал чистый пароль. Клиент может у себя сохранять хеш, но серверу требуется знать пароль.
Total votes 1: ↑1 and ↓0+1
А такая ситуация не только с xmpp. либо безопасная авторизация, но нужно хранить пароль в открытом виде. либо хранить хеш, но передавать прийдётся открытым текстом. для второго случая поможет ssl.
This comment wasn’t rated yet0
Объясните, пожалуйста, почему в статье про bcrypt по ссылке говорится о бесполезности соли? Ведь если хацкер спер md5 хеш, расшифровал его, то он же не сможет войти на сайт, ведь он расшифровал соленый, а при аутентификации он будет посолен еще раз и хеши не совпадут?
/что то есть захотелось../
Total votes 1: ↑1 and ↓0+1
Как я понял, там подразумевается, что раз уперли базу хэшей, то и коду, где зашита соль доступ тоже имеется.
This comment wasn’t rated yet0
Ну это совсем не факт: получение доступа к БД не означает доступ и к коду (хотя такие ситуации возможны). Кроме того, да, bcrypt — это круто, но, как верно говорит vkramskikh, не однозначно хорошо.

Кстати, а можно соление перенести в логику БД, в хранимые процедуры? И дать скрипту доступ на чтение таблиц (видов), но не давать на просмотр и редактирование процедур.
This comment wasn’t rated yet0
Для надёжной защиты паролей рекомендуется использовать только bcrypt.

Using a work factor of 12, bcrypt hashes the password yaaa in about 0.3 seconds on my laptop. MD5, on the other hand, takes less than a microsecond.

Используйте bcrypt, и организация DoS-атаки на ваш сервис будет легка и непринужденна
This comment wasn’t rated yet0
30% хранят в открытом, еще неверно с 30% хранят в хешированом с ключом забитым в коде и при полном взломе от этого хеширования толку мало.
Помню пару лет назад была всеобщая обеспокоенность тем, что, кажется, mail.ru после «Забыл пароль» присылал пароль на почту, то есть даже не меняя его, что весьма печально.

Сам храню комплексным хешированием с sha1.
This comment wasn’t rated yet0
Они требуют год хранить инфу о каждом пользователе, включая пароль, и предоставлять по требованию государственных учрежденний, включая налоговую инспекцию. Кроме как «французы — идиоты» тут сказать нечего.
Total votes 1: ↑1 and ↓0+1
В чем проблема шифровать пароль асимметричным ключиком и скидывать куда-душе-угодно?
А для авторизации использовать соль-хеш.

Это, конечно, добавит теоретическую возможность для атаки с учетом коллизий в случае, если будут утянуты обе базы и взломом займутся криптологи-математики, причем толпами, но…
This comment wasn’t rated yet0
Странно что никто не вспомнил сайт vkontakte.ru
150 млн паролей пользователей хранимых в открытом виде (возможно зашифрованном но с вомзможностью получения исходного пароля, но не хэшированном)
навскидку у 70% пользователей пароль совпадает с паролем почты.
This comment wasn’t rated yet0
Еще один проект в копилку был недавно анонсирован в Full Disclosure и также повлек за собой обсуждение проблемы.
This comment wasn’t rated yet0
Sign up to leave a comment.

Articles

Show the best of all time

Your account

Sections

Information

Services

Support
© 2006–2024, Habr