alizar Feb 3 2007 at 17:12

«Яндекс.Лента» показала пароли ЖЖ-юзеров

1 min

856

Information Security*

+20

Comments 21

irmin Feb 3 2007 at 17:55

Интересно, а когда у них заработала авторизация в LJ?

TheBits Feb 3 2007 at 18:20

Это не совсем ЖЖ авторизация. Согласно HTTP спецификации для авторизации на серевере можно в url'е передать логин и пароль. Например http://имя:пароль@сайт.дом/.
Те кто так делал и стали жертвами ошибки.

irmin Feb 3 2007 at 21:19

Я в курсе, что это HTTP спецификация. Только, к примеру, в Google Reader подобная авторизация не работает.

TheBits Feb 3 2007 at 21:34

Так используйте Яндекс.Ленту!

irmin Feb 3 2007 at 21:39

Ага. Обязательно :) Особенно после сабжа.

TheBits Feb 3 2007 at 23:46

:)
Так ведь теперь все мы знаем что этого бага в нём нет.

wlaer Feb 3 2007 at 18:27

Это digest-аутентификация. Она от аггрегатора не зависит.

irmin Feb 3 2007 at 21:19

В Google Reader не работает (что меня очень сильно огорчает).

wlaer Feb 3 2007 at 21:54

Потому что кэширование, ага.
В Яндекс-ленте тоже работало криво — и теперь понятно, почему.

BBSoD Feb 3 2007 at 17:56

alizar, "заблурь" пароль до конца, а то очень быстро угадывается.

alizar Feb 3 2007 at 18:08

Думаю, уже поздно. :)

BBSoD Feb 3 2007 at 18:10

Хотя, наверное, да. Когда я залогинился журнал был подозрительно пуст :(

NaFigator Feb 3 2007 at 18:17

А иски будут? :)

bogdanoff Feb 3 2007 at 20:26

Вах.. жаль уже прикрыли :)

abava Feb 3 2007 at 21:37

Яндекс еще и свою почту не защищает: http://abava.blogspot.com/2007/02/blog-p…

bogdanoff Feb 4 2007 at 09:55

У меня нечто похожее было, но только с Яндекс.Кошельком
Меня кидало то в свой кошелек, то в кошелек человека из моей же локальной сети. Благо платежные пароли друг друга мы не знали)
Писал в службу поддержки 03.12.2006, ответили только 12.12.2006 хотя обещали связаться в течение суток..

Krassus Feb 4 2007 at 13:03

Батенька, так ни кто не может защитить вас от криво настроенного proxy-сервера, который кэширует http.
Вообщем совет вам и другому человеку: Пользуйтесь https.

bogdanoff Feb 4 2007 at 15:16

Теперь пользуюсь.. хто ж знал.

Leonid Feb 3 2007 at 22:04

Я специально делал запрос в Яндекс.Ленту 2 месяца назад по схожей проблеме. Мне сказали что не при каких обстоятельствах логин/пароль из Ленты не выйдут наружу - это индивидуальный сервис. Оказывается ошиблись.

Sim Feb 4 2007 at 13:56

Интересно, а как люди из яндекса могут это прокомментировать, если тут конечно таковые имеются?

tsippa Feb 5 2007 at 12:57

А что ты хочешь услышать в качестве комментария??
"Да мы облажались, но такого больше не повторится..."
ведь никто не застрахован от ошибок и дыр

Show the best of all time