Хранение паролей considered harmful

[odessky]

Банки ломаются, сервисы тоже.

[mirritil]

безусловно. Но как банк может защищать ваши деньги лучше, чем ваша собственная железная дверь, так и большой опытный сервис может защищать их лучше, чем получается у маленького стартапа.

[Polosat]

Или топик какой незаконченный или автор предлагает пользоваться только сервисами с OpenID

[mirritil]

Нет, к сожалению, таких сервисов мало - потому ограничиваться ими сложно. Но я уже предпочитаю сервисы, которые предоставляют беспарольную регистрацию, всем остальным.

Топик направлен скорее на дискуссию с авторами сервисов, которые по непонятным мне причинам продолжают настаивать на хранении паролей. Добавил абзац в конце.

[sysprg]

Так ведь почти каждый, кто делает свой сайт, надеется встать в один ряд с Facebook, Yahoo и т.п. :) И чем Вам поможет OpenID если хакнут Вашего провайдера OpenID, у которого все сделано не по уму?

[FloppyFormator]

Сагалаев высказывался на эту тему, советуя ограничиться частным OpenID для себя и предостерегая от соблазна сделать публичный и (возможно) не очень надёжный OpenID-сервис.

[great_boba]

Представляю себе сайт, где для того чтобы написать сообщение, надо зарегистрироваться на Google,LiveJournal и т.д.
Мягко говоря - странно

[alex_blank]

ничего странного

какая вам, как пользователю, что у вас в адресной строке написано, когда вы регистрационную форму заполняете? google.com там или moisupersait.com — какая разница?

регистрироваться-то в любом случае придётся, если у вас нет аккаунта :)

но в случае google.com у многих этот аккаунт уже есть

[alex_blank]

*какая вам разница, имелось ввиду

[mirritil]

ну, можно хотя бы /предоставить возможность/. Учитывая, что у под 90% (а из аудитории бестперсонс - так наверное 99%) есть аккаунт на одном из таких сервисов, предоставить им возможность логиниться без пароля. А всем остальным, новичкам интернета, дать возможность завести пароль.

Существенное качественное изменение - люди, у которых уже какие-то важные данные (вроде почты) защищены паролем, его вводить на этот сайт не будут. Введут лишь те, у кого нету других сервисов (потому если уведут пароль - не страшно), или стремящиеся к повышенной анонимности (их пароль если и увести, то применить не будешь знать куда).

[Kalan]

В заголовке надо бы написать …is considered ;-)

Могу предложить следующий способ генерации запоминаемых паролей: перейти на какую-нибудь страницу сайта, скажем, «о проекте», взять, например, третье предложение и пробежаться по первым буквам. Например,

Само по себе название «Хабрахабр» ничего не означает и никак не переводится.

…волшебным образом превращается в что-нибудь типа spsn_Hh_!o&&!p. Конечно, к некоторым местам этот способ придётся адаптировать.

[alex_blank]

>> В заголовке надо бы написать …is considered ;-)

это вы мемов не знаете

http://en.wikipedia.org/wiki/Considered_…

[mirritil]

по первому - извините, но нет. :) Go To Statement Considered Harmful. Английский не так прост..

[Kalan]

Да, да, я уже понял, что неглубоко цеплялся :)

[mirritil]

этот метод очень сильно удлиняет процедуру входа на сайт.

[Kalan]

Если логиниться часто, пароль невольно запомнится. А если редко, то один раз подсмотреть и вспомнить не должно быть большой проблемой.

[YasonBy]

...а потом на сайте немножко изменят текст и нечаянно потеряют половину аудитории :)

[Kalan]

Не все же будут цепляться за одну и ту же строчку :)

Если в функции «Забыл пароль» будет показываться не «ну и дебил», то не потеряют.

[YasonBy]

А почему бы не использовать локальную программу для хранения/генерации паролей?
KeePass, например.

[mirritil]

каких программ? у меня разве что джаббер-клиент на десктопе просит пароль. все остальные пароли нужны для веб-сервисов. А в них я имею тенденцию заходить с очень разных компов, на которых, естественно, хранить свои пароли локально нет ни возможности, ни желания.

[eugenius_nsk]

Практически все такие программы (хранители паролей) умеют работать с флешки.

[aberezh]

Не верю в проблему безопасного хранения паролей: солёный хеш её вполне решает.
Запоминание многих паролей - это да.

[Kalan]

Интересно, как можно залогиниться на какой-нибудь неаффилированный сайт, зная только значение хеша пароля, но не сам пароль. Под «хранением» тут понимается именно это.

[aberezh]

Под хранением где?

[Kalan]

На сервисах вроде BestPersons, чтобы можно было писать сообщения в блоги/твиттер/etc, не отходя от кассы.

[aberezh]

А, в этом смысле. За это, конечно, эцих с гвоздями.
В LinkedIn и в Pulse тоже предлагают контакты из GMail/Yahoo/etc проимпортировать.

[mirritil]

Pulse использует API, а не спрашивает пароль, если я не ошибаюсь.

[aberezh]

Спрашивает.

[mirritil]

да, ошибся. Они прошли лишь пол-пути - разрешают зайти на их сайт не вводя пароля.

[budulay]

всеравно надежных сервисов нет, нужно просто помнить свои пароли..... я вот даже в браузере пароли не сохраняю))))

[willow]

+1

[Nickname]

Ну вот есть 20-30 разных сайтов, на которых от меня требуют пароли. Я использую везде разные, не интересно как-то их все запоминать :)

[BINGO]

Нет конкретики.

Если сервис предполагает использование сохранённого пароля, хранить его в хэше нету смысла. Только если шифровать своим алгоритмом, или же открытым ключем.

[BINGO]

Хранить пароль в открытом виде - единственный выход, не требующих технических излишков. Или шифровать всё это дело открытым ключем, или собственным алгоритмом.

Другое дело - пароли авторизации сайта. Их можно в хэш кидать и забыть про них, но и тут могут возникнуть проблемы.

Всё-равно проблема в безопасном доступе к этим паролям, а не в принципе их хранения.

[maniac]

от хабра.

[DeadMoroz]

В одном интернет-магазине, есть такая фича, что если во время чекаута пользователю не удается правильно заполнить данные кредитки (ну мало ли — тупой), он может выставить галочку вроде «пускай администрация мне поможет». В последствии такой заказ помечается как проблемный, и администрация связывается с покупателем по телефону и помогает ему выполнить заказ. А может и сама проводит его, если удается. Для этой цели введенный номер кредитки сохраняется в БД магазина (хоть шифруют, и то хорошо).

Такая вот жертва безопасностью в угоду удобству клиентов.

[legend]

в вот ещё один http://www.security2day.ru
:)))

[mirritil]

мягко говоря, подозрительно они смотрятся. нигде не объяснено подробно, как обеспечивается безопасность паролей, так что я бы им не доверил.

[transpond]

www.moiparoli.ru/help-how-it-works.html

[mirritil]

о ужас.

«Осуществление процесса шифрации и дешифрации всей информации на стороне клиента»

это просто писец. «шифрация» и «дешифрация». дальше можно не читать.

[transpond]

а как правильно?

[mirritil]

«зашифрование» и «расшифрование»; и то и другое вместе — «шифрование».