А как Вы передаете клиентам логины/пароли?



    Когда все текущие задания я уже отправил на аутсорс китайцам Когда в очередной раз мне нужно было передать клиенту логин/пароль, и на стандартное предложение отправить айпи сервера в скайпе, а логин/пароль по смс, я получил встречное предложение — «Да не парься, давай все сюда в скайп чат скидывай!», мне стало грустно.

    По долгу службы, я довольно часто передаю клиентам разного рода конфиденциальную информацию, и в 90% случаев, по инициативе клиентов, передача происходит по имэйлу/скайпу. Всем понятно почему это небезопасно. Погуглив немного, я не нашел ни одного подходящего сервиса для передачи конфиденциальных данных, и решил написать его сам. ( Забегая вперед, спешу сообщить, что таких сервисов нашлось аж 3, но на момент принятия решения о создании своего сервиса, этой информации у меня не было.)
    Суть сервиса проста, сохранить в зашифрованном виде сообщение для клиента, предоставить клиенту одноразовый url для просмотра сообщения, после прочтения сообщение сжечь, после просмотра — удалить сообщение из базы.
    Сказано — сделано, node.js + mongodb + 2 выходных дня = SafeMsg.Me
    Вход только по https, база зашифрована AES, после прочтения сообщения удаляются.
    Теперь я передаю клиентам только url.

    Уважаемые, а как Вы передаете пароли/логины своим клиентам?

    PS: Другие сервисы предоставляющие аналогичные услуги:
    TMWSD
    Onetimesecret
    Privnote
    allw.me
    Поделиться публикацией

    Комментарии 140

      +35
      Вообще, после передачи пароля, его следует сменить (принимающей стороне). Предупреждать об этом имеет смысл (передающей стороне).
        +19
        Тоже показалось, что какой то велосипед, туда где он не нужен.
          0
          пароль «передающей стороне»?
            +1
            А если обе стороны должны теперь знать новый пароль?
              +7
              То это очень плохая система…

              Привидите пример, когда надо знать двум людям одну связку логин/пароль?
                0
                Хозяин хостин-площадки хочет иметь логин и пароль под рукой на всякий случай. А по факту этот логин и пароль нужен разработчику, чтобы управлять всякой мишурой вроде кронов, бекапов, БД и прочего.
                  +16
                  Должно создаваться несколько пользователей.
                    +1
                    Есть довольно много хостинг-провайдеров не позволяющих делать несколько пользователей в одном аккаунте. Как быть хозяину площадки в этом случае? Менять хостинг-провайдера?
                      +5
                      В этом случае хозяин площадки должен запросить у разработчика его открытый ключ и дописать полученный ключ в ~/.ssh/authorized_keys
                        +2
                        Хозяин площадки некомпетентен в IT вопросах. Он просто хочет иметь у себя root доступ на всякий случай. Это вполне типичная и понятная ситуация на самом деле.
                        Ну и потом, не на всех хостингах вообще раздают ssh доступ. А на тех, что раздают, не везде разрешают авторизацию по ключу.
                          +5
                          Плохой хозяин, плохой хостинг. Должны создаваться несколько пользователей с правами суперпользователя, как написали выше. В любом случае хозяин площадки имеет административный доступ к управлению площадкой.
                            +2
                            Да, все плохие. Это означает, что вы согласны с тем, что в данной отнюдь не фантастической ситуации предложенное автором ветки решение не годится?
                              0
                              В данной ситуации можно и просто по скайпу
                        +4
                        Хостинг-провайдер не позволяет пользователю делать для себя несколько учетных записей. Сам то может сделать их хоть 100 штук!
                        Я не знаю, где Вы увидели такого провайдера (пример?), который с целью саппорта пользуется связкой логин-пасс пользователя.
                        Сколько занимаюсь IT — никогда такого не видел. Наоборот, везде предупреждения в солидных конторах, мол, «не передавайте свой пароль никому, даже сотруднику нашей компании»
                          0
                          fastvps.com например так делает
                            0
                            Я не знаю, где Вы увидели такого провайдера (пример?), который с целью саппорта пользуется связкой логин-пасс пользователя.

                            Я не совсем понял что вы имели ввиду этой фразой. Наверное, вы что-то особенное назвали «целью саппорта». Я перечислил цели. Повторю их: управлять всякой мишурой вроде кронов, бекапов, БД и прочего. Провайдеров, которые хотят логин/пароль для таких целей пруд пруди. Вам в самом деле нужен пример?
                            Наверное я что-то неверно понял, поясните пожалуйста, пример чего вам привести.
                              0
                              Я пользовался большим число провайдеров, и когда мне требовалась помощь по настройке Cron, почты или еще чего — всегда спрашивали только логин или номер договора.
                              Никогда никто не интересовался моим паролем.
                              Вот мне и интересно знать «врага в лицо», т.е. того/тех провайдера/ов, которые требуют у клиента его пароль для каких-либо целей вообще. Это же невероятная брешь в безопасности!
                                0
                                А при чем тут помощь провайдера-то? :) Вы не уловили. Разработчик и собственник проекта – вот наши герои. Первому пароль нужен для работы, второму для уверенности в том, что он хозяин положения. Понимаете?
                                  0
                                  Наверное я неправильно истолковал выражение «Хозяин хостин-площадки». Я полагал, что имеется ввиду хостинг-провайдер :)

                                  Тогда, да, действительно, зачастую у разработчика и владельца проекты используются общие пароли. Хотя от этого тоже следует уходить.
                                    0
                                    Так о том и разговор, как уходить? Никто пока что идей не предложил.
                                      0
                                      Не использовать таких хостинг-провайдеров, накладывающих ограничения на число пользователей? Или вообще использовать VPS.
                                        0
                                        Давайте соотнесем это с деньгами. Владелец сайта на хостинге (коммуналочке такой тесной) платит ~1000 рублей в год. А сколько надо будет платить, если воспользоваться вашим предложением?
                                          0
                                          Тут уже надо делать выбор, что более важно — сэкономить деньги или обеспечить безопасность. Данные, которыми оперирует проект могут стоить в сотни раз больше, чем владелец заплатит за VPS.
                                          Под разные проекты — разные решения.
                      +1
                      Из своей практики. Есть IPTV приставки, тысячи их. На них можно заходить по SSH для разных дебаггерских задач.
                      Естественно, логин/пароль на всех приставках одинаковы, и знать их нужно куче инженеров.
                        0
                        То-есть уплывший пароль от обиженного/уволенного инженера подвергает опасности тысячи пользователей ваших приставок, как минимум остаться без TV, я правильно понимаю? Неужели для этих приставок нет возможности прикрутить аутентификацию/авторизацию через RADIUS/TACASC+?
                          0
                          Не всё так страшно. Прошивки, насколько могу судить, регулярно централизованно обновляются с изменением пароля, приставки для логина извне доступны, скажем так, далеко не отовсюду.

                          А если усложнить задачу: внешнюю систему при аутентификации использовать нельзя? Тогда какой правильный подход?
                            +2
                            Как вариант при централизованном обновлении закачивать открытые ключи доверенных инженеров. Уволился инженер — сделали коммит в фаил ключей с удалением неликвидного ключа, все приставки через какое-то время увидели новую версию и скачали. То что они доступны не везде (предположим отдельный vlan) чисто гипотетически не мешает отдельному обиженному сотруднику войти и оставить закладку замедленного действия. Опять же как определить кто из инженеров и когда вносил какие-либо изменения? Опять же предположим в один прекрасный день 30% приставок перестало работать и отзываться, очередь в телефонии забита звонками «благодарных» клиентов как вы будете определять кому дать по шапке в случае факапа? Я конечно сгущаю краски, но отсутствие ответственности (в данном случае групповая ответственность, а не личная) рождает раздолбайство в коллективе, всех не накажут.
                        –1
                        Учетка на Лепре, например :)
                          –2
                          Лепры не существует! ;)
                        0
                        для этого есть алгоритм Диффи — Хеллмана
                          0
                          Это вы мне отвечаете или автору ветки? Вводная ветки в том, что сторона, получившая пароль, должна его сразу поменять. Пароль сменен, зачем теперь криптография?
                            0
                            вам. Если обе стороны должны иметь один секрет — используйте алгоритм Диффи-Хеллмана. прямо по аське/жабе/телефону/как угодно. В результате у вас обоих будет общий секрет, и плевать какой безопасности канал был между вами.
                              +1
                              Мы обсуждаем другое решение, вы это понимаете? :)
                      +5
                      Когда встает такая необходимость, передаю логин и пароль отдельно по разным каналам (например логин по почте, а пароль по смс) или передаю зашифрованный, под заранее оговоренным паролем, файл.
                        +8
                        Лучше через асимметричный ключ, мне кажется.
                          –6
                          есть готовые программные средства?
                            +3
                            PGP или X509 в почтовых клиентах.
                              +1
                              Да гемор же. Это надо будет клиенту объяснять как это ставить.
                                0
                                Объяснить как прописать сертификат в Outlook'е или Thunderbird'е не так уж и сложно, но да, конечно гемор.
                            0
                            К сожалению, не всегда есть такая возможность. В частности, если принимающая сторона заранее не создала ключевую пару и сертификат открытого ключа, то зашифровать передаваемые данные не получится не получится.
                          +8
                          капча ад, сделайте шум другим цветом, не видно же ничего — с 4-го раза удалось ввести
                            +1
                            капча в принципе — ад… это убийство наповал любой, даже совершенной общей юзабильности. Неужели без нее никак? Вот, к примеру, тут ее нет translate.google.com/
                              +1
                              Всё равно скоро пользователь будет восприниматься как человек только если десять раз упорно пытается разгадать капчу, но у него ничего не получается…
                                0
                                так воспринимается бот.
                                  0
                                  Пороху вы не нюхали. При виде гугловской рекапчи у меня одна мысль — «что тут, в конце концов, написано?» Особенно если присутствуют хитровыкрученные символы, наподобие ñ или ě
                                    0
                                    Цыц про порох! У вас такие символы есть для ввода?)
                                      +1
                                      Конечно есть, причем во всех паролях. Точнее, не именно эти символы, а ди́а̀к̂р̌йт̄и̃к̇а.
                                      +2
                                      Комикс на тему криптостойкости капчи
                                  0
                                  Не стоит сравнивать веб-сайт типа «node.js + mongodb + 2 выходных дня» с Google :-)
                                    0
                                    Ну очевидно, что Google больше времени и ресурсов потратил на то, чтоб у них капчи не было :-)
                                      0
                                      Эти ресурсы в миллионах долларов измеряются, автор явно не готов тратить на свой сервис такие деньги.
                                        0
                                        На мой взгляд можно было вообще капчу не делать. И времени и ресурсов меньше бы потратил. И пользователям было бы удобней. Хотя если реально есть проблема с роботами, то да. Но что-то сомневаюсь. Скорей всего просто «академический» интерес.
                                +1
                                Вы попытались перейти на сайт www.safemsg.me, но сервер предоставил сертификат, выданный организацией, которая не классифицируется операционной системой компьютера как доверенная. Android chrome. (

                                А Сервис интересный.
                                  0
                                  Сертификат получил тут — www.gogetssl.com, у меня на всех браузерах прекрасно работает, странно что на андроиде не принимает:(
                                  Кстати на этом сайте самые дешевые сертификаты ssl, кроме того, они дают на 90 дней бесплатный сертификат, попробовать.
                                    +4
                                    надо всю цепочку прописать, а не только последний сертификат.
                                      +1
                                      Startssl вроде вообще бесплатно дают.
                                        0
                                        ex-New iPad, Safari — OK, а вот у Chrome та же проблема после автоматического редиректа на www.
                                          0
                                          FF 18 тоже ругается.
                                            0
                                            Проблема в том, что не установлен Comodo AddTrust.crt (Intermediate-CA), установите и проблем не будет.
                                            0
                                            Самые дешевые на startssl – они там бесплатные (и гарантируют валидацию доменного имени по контактам whois).
                                              0
                                              Вова а Вам гугл не дает ssl бесплатно? ;)
                                                0
                                                С чего бы это? :)
                                                  0
                                                  а вдруг!
                                          +9
                                          Здоровая параноидальность это правильно, но только пока не мешает жить.

                                          Задумка занятная, только её практическая надобность высосана из пальца.
                                            0
                                            Ошибаетесь. Сразу видно, что клиент никогда не предъявлял вам незлонамеренную утечку паролей.
                                              +2
                                              Есть великое множество причин, по которым избавляться от клиентов-идиотов следует как можно раньше.

                                              Обычному человеку дополнительная верификация через смс более, чем достаточна — большинство банков так работают. А здоровый параноик сам озаботится заблаговременной передачей Вам своего публичного ключа. И уж тем более озаботится сменой пароля при первом же логине.

                                              Опять же не понятно, почему сама система, которая обрабатывает логины не реализует такой простой функции, как «изменить пароль при первом входе»?

                                              Но вместо нормальных и проверенных решений изобратается собственный кривой велосипед, который не учитывает не то что различных сценариев атаки на такой https доступ, но и элементарно тот факт, что у одного-двух человек из пары сотен «одноразовая ссылка» в почте оказывается чудесным образом уже кликнутой к моменту прочтения письма адресатом.

                                              Т.е. по факту имеем заметный дополнительный гемор без какого-либо реального увеличения безопасности.
                                            +2
                                            Давно уже пользуюсь этим сервисом: touch-file.com/

                                            Заливаю файл, выставляю в опциях только одно скачивание, время хранения один час и передаю зашифрованную ссылку с паролем клиенту. По скайпу подтвердил получение — передача прошла нормально.
                                              +9
                                              Мне кажется, все эти шпионские ухищрения могут быть сведены на нет заказчиком, который после получения данных сверхконфиденциальнозашифрованным способом напишет логин и пароль на бумажке и положит на видном месте, чтобы не потерять, а затем разошлет всем сотрудникам которым нужен будет доступ по почте.

                                              При такой передаче, если Вы заботитесь о клиенте, клиенту как минимум надо давать методичку о мерах по обеспечению безопасности данных на предприятии, а как максимум проводить тренинги для персонала и регулярные аудиты, что при правильной подаче может дать компании-разработчику дополнительную денежку.
                                                +1
                                                Решается задача передачи пароля заказчику, а не образование заказчика в вопросах безопасности данных.
                                                  +1
                                                  надо давать методичку о мерах по обеспечению безопасности данных на предприятии

                                                  Если бы это помогало…
                                                  +28
                                                  Знаем мы ваши «node.js + mongodb + 2 дня», избалованые.
                                                  Теперь давай +5 дней на отладку. У меня символы в сообщении при расшифровке теряются.
                                                    +2
                                                    Русский текст теряется (Safari)
                                                      +2
                                                      Вероятность взлома PGP шифрования стремится к нулю. Я использую этот сервис для передачи конфиденциальной информации.
                                                        +1
                                                        Капча глаза сломаешь
                                                          +17
                                                          Здоровая параноидальность не даст воспользоваться таким сервисом. Если это конечно не собственный сервис на собственном хостинге.
                                                            +6
                                                            на собственной планете
                                                              0
                                                              Логин передавать через один сервис, пароль через другой)
                                                                0
                                                                А чем тогда нынешняя ситуация не устраивает? =). Логин в скайпе, пароль смс-кой =).
                                                                  +1
                                                                  1. Не всегда хочется светить свой номер мобильного.
                                                                  2. Таким образом пароли передаются открыто, тут же есть какая-никакая шифровка.
                                                                    +1
                                                                    Одноразовые симки? Если бы я работал фрилансером, который не хочет светить своих реальные контакты, то пользовался бы почтовыми ячейками, зарегистрированными на вымышленные имена и одноразовыми симками. Новый клиент, новая пара.

                                                                    Если паранойя совсем жить не даёт, то можно пойти дальше и ячейки регистрировать и получать корреспонденцию из них отправлять какого-нибудь эмигранта, который плохо знает язык и ему все белые на одно лицо, а мобильный менять при каждом звонке. Звонить только из публичных мест. Это всё реализовать дёшево и не сложно. Но зачем? Разве что вы на Аль Каиду работать.
                                                                  +2
                                                                  Какова гарантия что оба сервиса не принадлежат одному владельцу? ))
                                                                  0
                                                                  Я попробовал WP для этого использовать =)
                                                                  Неплохо справляется.
                                                                  +1
                                                                  1. Можно передавать в архиве под паролем.
                                                                  2. Сделайте или каптчу попроще или обноление каптчи без перезагрузки страницы.
                                                                  3. Все таки передавать данные третьей стороне(Вам), я бы не стал. Сейчас много мошенников и мало ли, может вы у себя храните все данные что были переданы (без обид)
                                                                    0
                                                                    1. Вот как раз для передачи пароля и можно воспользоваться подобным сервисом, а сам файл по имейлу, после подтверждения получения пароля.
                                                                    2. Каптча обновляется кликом по картинке каптчи, перегружать страницу не обязательно.
                                                                    3. Согласен. Без обид:)
                                                                      0
                                                                      2. Капча не пробиваемая. Из-за больше не захотелось заходить на сайт.

                                                                      Баг — если указать пароль, при ошибке ввода капчи сбросит его.
                                                                        –1
                                                                        2. Каптча обновляется кликом по картинке каптчи, перегружать страницу не обязательно.
                                                                        www.safemsg.me/save здесь не обновляеться. пробовал в Opera, FF. Никакое событие не срабатывает смотрел в консоли.
                                                                          0
                                                                          Нет такой страницы:)
                                                                            0
                                                                            Нет страницы- это 404 :) А здесь нет гет параметров :)
                                                                            www.safemsg.me/create
                                                                      +3
                                                                      Мне кажется, что это какая-то паранойя на ровном месте.
                                                                      • НЛО прилетело и опубликовало эту надпись здесь
                                                                          0
                                                                          Папкой/сейфом примерно в 102% случаев становится стикер на мониторе же.
                                                                          0
                                                                          Давно в поисках сервиса хранения паролей.
                                                                          Нужно:
                                                                          • онлайн хранение пароля
                                                                          • множественный доступ с возможностью его ограничивать
                                                                          • уверенность в сервисе (если это какой-нибудь google сделает например)
                                                                          • Как вариант — некий продукт который можно развернуть у себя, для пущей уверенности в сервисе.

                                                                          Просто часто бывает что приходится работать с 1 паролем нескольким людям.Думаю ни я один с этим сталкивался.
                                                                          Кто-нибудь встречал?
                                                                            0
                                                                            LastPass
                                                                            Для множественного доступа есть шаринг — возможность ограничивать по эмейл + тип доступа.
                                                                            Не уверен нужен ли пользователю создавать акк в LastPass для пользования расшаренным паролем.
                                                                              0
                                                                              > Не уверен нужен ли пользователю создавать акк в LastPass для пользования расшаренным паролем.

                                                                              Да, нужно создавать
                                                                              0
                                                                              А какую уверенность Вам даёт гугл?
                                                                                0
                                                                                Если охота заморачиваться, то могу предложить мой вариант: директория синхронизируется между компами через облачный сервис, внутри директории лежат файлы-контейнеры, директория примонтирована в другую, и расшифровывается на лету.

                                                                                (Инструкция для убунты: habrahabr.ru/post/143327/)
                                                                                  +1
                                                                                  Жахнем по воробьям из Царь-пушки?
                                                                                +7
                                                                                Интересное решение в плане безопасности… отдать данные стороннему сервису и надеяться, что данные он точно удалит из базы… =).
                                                                                Если сервис свой и живет на своем же сервере, тогда более-менее безопасно. А так…
                                                                                  +6
                                                                                  Если доступ по ssh, то клиент передает свой открытый ключ по незащищенному каналу передачи (скайп, почта, etc), а мы его прописываем на сервере. Если это связка логин-пароль, то пароль одноразовый и его необходимо сменить после первого входа. Если нет возможности использовать одноразовый пароль, просто по разным средствам коммуникации, даже в голову не приходило использовать для этого ПОСТОРОННИЕ сервисы.
                                                                                    +3
                                                                                    Извините, но скайпу с его проверенной очень маститыми экспертами типа Брюса Шнайера криптосистемой я доверяю намного больше, чем Вам. При всём уважении.
                                                                                      0
                                                                                      а давно у скайпа что-то было проверено? я помню что мастер-ключи у спецслужб есть.
                                                                                        +1
                                                                                        Еще у спецслужб есть СОРМ, есть #говнореестр, есть возможность прямого запроса у хостера, есть возможность физического изъятия серверов, ну и паяльники для терморектального криптоанализа никто не отменял.
                                                                                        Не хотите привлекать внимание спецслужб — не связывайтесь с наркотой, политотой и чипи. Всё просто.
                                                                                          +1
                                                                                          Расскажите пожалуйста что такое «чипи».
                                                                                            +7
                                                                                            Вас же предупреждали.
                                                                                              +1
                                                                                              Ну я же должен знать что это такое, чтобы не связываться с ним!
                                                                                                0
                                                                                                Я, кажется, понял что имелось в виду. Все пытался соотнести с английским cheap.
                                                                                                  +1
                                                                                                  Первая ссылка в гугле по запросу «чипи» — Производитель Chepe (Чипи) — детская одежда для ... — объяснила мне всё =)
                                                                                                    0
                                                                                                    А меня только больше запутала: причем тут фирма детской одежды? Что криминального? По-видимому, это явление настолько вне моей системы координат, что даже такая зацепка не вызвала никаких ассоциаций. Но позже я догадался о чем речь.
                                                                                                      +2
                                                                                                      Завидую.
                                                                                                        +1
                                                                                                        я до сих пор в сладком неведении… теперь не усну
                                                                                                          0
                                                                                                          чипи (cp) — child por...graphy.
                                                                                          0
                                                                                          +2
                                                                                          На хабре было несколько постов, посвященных сервису FireTalks, системе общения без имен, регистраций и хранения личных данных. Есть и мобильная версия.
                                                                                          Опенсоурс кстати.

                                                                                          habrahabr.ru/post/123204/
                                                                                          habrahabr.ru/post/162495/

                                                                                            0
                                                                                            Тоже про него сразу вспомнил.
                                                                                            0
                                                                                            Для передачи не очень важных учетных данных пользуюсь xmpp (естественно с ssl), с моей стороны собственный сервак. Для очень важных учетных данных либо сверху цепляется gpg, либо в запароленный архив, архив на свой сервак c ssl, ссылка по емейлу\xmpp, пароль по xmpp\емейлу.

                                                                                            Сторонние серверы для этого использовать, а уж тем более решето типа скайпа — легкомысленность вышей степени.
                                                                                              0
                                                                                              а ваш проект, исходники не предоставляет?)
                                                                                              • НЛО прилетело и опубликовало эту надпись здесь
                                                                                                  +1
                                                                                                  В век забытых в барах прототипов айфонов, такой сервис выглядит параноидальным. Постоянно передаю все данные через скайп или email, никогда ничего не случалось.
                                                                                                    +7
                                                                                                    Хммм, не доверяем своему имейлу и скайпу, а давайте-ка доверимся стороннему малоизвестному сервису!
                                                                                                    seems legit
                                                                                                      +1
                                                                                                        0
                                                                                                        Этот сайт указан в конце поста, в списке аналогичных сервисов.
                                                                                                        0

                                                                                                        4 раза ПРАВИЛЬНО ввел капчу и пишет что не верно, забил…
                                                                                                          +1
                                                                                                          Я, если честно, вообще не очень понял, зачем на таком сервисе капча. Эта форма никуда ничего не отправляет.

                                                                                                          Опаска, что злые боты будут срать в базу зашифрованными сообщениями?
                                                                                                            +1
                                                                                                            Про каптчу согласен, уберу в ближайшее время.
                                                                                                              0
                                                                                                              Есть удобный плагин для QIP Pastebin было бы замечательно добавить поддержку сервиса в него. Если каптчи не будет, то думаю автор добавит :)
                                                                                                          +1
                                                                                                          У меня примерно та же история, только надо передавать толстые файлы, с информацией под НДА. Передаю так: шифрованный файл в Дробоксе, ссылку на скачивание — контрагенту мейлом или скайпом, пароль — смской. После скачивания контрагентом, файл из Дропбокса удаляю.
                                                                                                            +2
                                                                                                            У меня в фирме клиенту/сотруднику передается одноразовый токен (ссылка), по которому клиенту предлагается ввести свое кодовое слово, установленное при заключении договора (для лишней проверки того, кто сидит перед монитором), и, затем, установить свой личный пароль.
                                                                                                            Меняется пароль, в случае забывания, аналогичным образом.

                                                                                                            И никаких готовых паролей клиентам/сотрудникам никто не передает — это же, на мой взгляд, ад с точки зрения безопасности!
                                                                                                              +2
                                                                                                              О! Здравствуй, голос разума. А то у меня уже глаза слезятся от криптодропбоксов в комментариях.

                                                                                                              Добавлю, что если у клиента нет ничего, недоступного злоумышленнику, предлагаемый сервис может быть интересен при добавлении одной итерации:
                                                                                                              →передаем токен ссылкой;
                                                                                                              →после первого GET-запроса — удаляем токен с сервера;
                                                                                                              ⇒ по телефону убеждаемся, что именно клиент получил токен; до этого момента следующий шаг не должен быть доступен никому;
                                                                                                              → заставляем его установить личный пароль, используя токен для входа (ну или показываем ему его пароль, такие клиенты бывают, несмотря на ад безопасности).

                                                                                                              От сниффинга не защита, но и ваш вариант — тоже нет.
                                                                                                                +2
                                                                                                                Перечитал свой комментарий. Круто я OAuth2 только что придумал, правда?

                                                                                                                ;-)

                                                                                                              0
                                                                                                              Странно что все в основном обсуждают логины/пароли для ssh, а ведь есть еще масса других ситуаций, в которых клиент не может поменять пароль. Например доступ по VPN к определенному сервису или базе данных, фтп доступ, итд. Варианты связанные с PGP слишком сложно для среднестатистического клиента.
                                                                                                                0
                                                                                                                > Теперь я передаю клиентам только url.

                                                                                                                И чем это отличается от передачи логина и пароля? Если логин и пароль могут украсть, то точнно так же могут перехватить урл, зайти по ссылке первее клиента — и вуаля!
                                                                                                                  0
                                                                                                                  Да. Но вряд ли кто-то будет сидеть и ждать момента, когда вы отправите логин/пароль и ломанется «опережать». Скорее всего, это произойдет через какое-то время.
                                                                                                                    0
                                                                                                                    Url передается в режиме онлайн в скайпе, и клиент сразу подтверждает получение всей необходимой ему информации, а в логах скайпа остается висеть никому уже не нужный url.
                                                                                                                    0
                                                                                                                    Почтой, но шифрованной его открытым ключем (и моим закрытым).
                                                                                                                      0
                                                                                                                      Повезло Вам с клиентами:)
                                                                                                                        0
                                                                                                                        А чего там, инструкций по настройкам сертификатов полно на любом языке, в почте делается довольно легко. Получить бесплатный сертификат тоже не сложно. Убедить помогает упрямство и упомянание, что он сможет и сам отправлять сообщения с красивым значком-розеткой. :-)
                                                                                                                      0
                                                                                                                      Если кастомер адекватен и умеет пользоваться цифровыми ключам — шифрованное письмо с цифровой же подписью
                                                                                                                        0
                                                                                                                        В нашей компании по ISP положено делить пароль на 2 части и отправлять их двумя каналами — например по IM и СМС. От «случайного» злоумышленника такой способ защищает.
                                                                                                                          +3
                                                                                                                          XXX: Мишаня, дай мне свой логин/пароль, мне там кое-что сделать надо.
                                                                                                                          YYY: Si6gPw89YJBoh1ap9Gq2
                                                                                                                          XXX: Ты шизанутый параноик. Зачем такие пароли?
                                                                                                                          YYY: Это логин.
                                                                                                                          YYY: Пароль я тебе картинкой ММС-ку пришлю
                                                                                                                            0
                                                                                                                            А по SMS, значит, безопасно и весело? Нда…

                                                                                                                            Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                                                                                                            Самое читаемое