Miért nem tudják megmondani az elfelejtett internetes jelszavakat a honlapok?
A jelszó hashelésről közérthetően
■ 
Friss blogmarkok
- Web Akadálymentesítési Útmutató (WCAG) 2.1 – nyilvános munkaterv – Megjelent a WCAG (Web Akadálymentesítési Útmutató) 2.1 nyilvános munkaterv (0)
- MongoDB Apocalypse Is Here as Ransom Attacks Hit 10,000 Servers – Több tízezer védtelen MongoDB szerverre csaptak le hackerek (2)
- 12 Signs You’re Working in a Feature Factory – A cél nélküli funkciógyártás néhány tünete (0)
- Translatable, custom dates in Twig templates of Drupal 8 – Saját dátumok megjelenítése, fordíthatóan a Drupal 8 smink rétegével dolgozva (0)
- NativeScript – Cross-Platform Native Development with Javascript – Fejlesszünk natív mobilalkalmazást JavaScripttel (0)
- GitHub Security Update: Reused password attack – Érdemes bekapcsolni a kétfaktoros azonosítást, ha a GitHub jelszavunkat más oldalakon is újra felhasználtuk (17)
- UX Design könyv – Hogyan tervezz felhasználóbarát és szerethető alkalmazásokat? (0)
- Introducing unlimited private repositories – Megváltozik a GitHub díjszabása: minden előfizetéshez korlátlan számú privát repository jár (0)
- Drupal 8 Twig: add custom CSS classes to menus (based on menu name) – Saját elképzeléseink szerinti CSS osztályok (automatizált) hozzáadása a Drupal 8 menüihez (0)
Cikkajánló
Friss csiripek
Csiripek betöltése…
Aktív fórum témák
Új fórum témák
Archívum
| H | K | Sze | Cs | P | Szo | V |
|---|---|---|---|---|---|---|
| 25 | 26 | 27 | 28 | 29 | 30 | 1 |
| 2 | 3 | 4 | 5 | 6 | 7 | 8 |
| 9 | 10 | 11 | 12 | 13 | 14 | 15 |
| 16 | 17 | 18 | 19 | 20 | 21 | 22 |
| 23 | 24 | 25 | 26 | 27 | 28 | 29 |
| 30 | 31 | 1 | 2 | 3 | 4 | 5 |
teljesen jó a tartalom, de
Így aki hozzáfér az
Szerintem ez az MD5±só olyan megoldás mint a PHP safe_mode: nem megoldás, csak az első lépés. A tárolás önmagában keveset ér, ha az átvitel nem biztonságos.
Egy kis mese így szombat délelőttre. Az internet kávézók fénykorában volt egy elterjedt szívás a maflák között akik
Az utánuk jövő ugyan nyitva találta a levelesládájukat, de a garázdálkodás csak pünkösdi királyság lett volna, mert a jelszó ismerete nélkül később már nem térhet vissza. De volt egy megoldás
Ez egy másik ok a régi jelszavak el nem küldésére: a felhasználó védelme a saját hülyeségének ellene fordításától. Sajnos webmesterkedés közben erre is gondolnunk kell.
Épp ezért
Tudom, hogy ... de mégis ...
Homályosítson már fel valaki, legyen szíves, mint türelmes anya hülye gyermekét!
Köszi! Üdv:
Dávid
miért lenne nehezebb?
Egyetlenegy dolog jut eszembe amiben "nehezebb" a hashes megoldás, mégpedig hogy nem tudsz nyers jelszavakat kiküldeni emlékeztető emailbe, ehelyett egy link-et generálni az usernek.
Támadás
Jogok
Köszönöm a válaszokat!
Valóban nem ügy hash-elt jelszavakat kezelni. Azt hiszem, végül is meggyőztetek. 2 terület van igazából, amiben most segít a nem titkosított tárolás: egyrészt a jelszó-emlékeztető, másrészt, hogy valamely felhasználó (általában az admin) nevében így be tudok én is jelentkezni, és szoktam így javításokat utótesztelni vagy hibabejelentéseket ellenőrizni. Ez utóbbi esetet Ti tudjátok diszkrétebben intézni?
Poetro:
Tök igazad van, ezzel a kockázattal én is tisztában voltam, csak azt gondoltam, hogy ha valaki olyan buggyant, hogy 1 jelszót használ mindenhol, az vessen magára, ha pórul jár.
proclub:
Ez jópofa. Megfontolom.
Köszi mégegyszer! Üdv:
Dávid
Örülök hogy
Nemsok esetet tudok elképzelni mikor az embernek szüksége volna arra hogy másik nevével bejelentkezzen. Ha olyan jogosultság kell ami csak a másiknak van, akkor magadnak is meg kell adni azt a jogot, és kész. De ha mindenképpen úgyérzed hogy neked szükséged van arra hogy valaki másik neve alatt garázdálkodj, akkor le lehet programozni hogy az admin felületen ki lehessen választani ki "legyél" az oldalon.
Köztes alternatív (gány) megoldás:
Azt is lehet hogy letárolod a jelszavakat de nem hash-elt hanem kódolt formában. Ezzel egy baj van hogy ha feltörik az oldalt akkor a titkosítási algoritum ismeretében simán visszafejthető. De ha írsz egy saját titkosítási algoritmust aminek a kimenete úgy néz ki mint egy sha1 hash, akkor a hacker pistike azt fogja hinni hogy az simán egy sha1 hash, és azt meg ugyse tudja visszakódolni alapon, hagyni fogja az egészet a fenébe. (ha már hozzáfért a db-hez akkor utána már nem szokták a forráskódod böngészni)
Két gond még van ezzel mégpedig hogy be kell határold a jelszó hosszát, és karakterkészletét, és nem szabad kiküldeni emlékeztető emailbe a jelszót. (mert akkor evidens a rosszfiúnak hogy nem hash-elve van a jelszó)
De ezt csak felvettettem, lehetőleg tárold le normálisan hash-elve a jelszavakat.
ui: Ha egy oldalon az emlékeztető emailbe kiküldik a jelszavakat, akkor azt az oldalt jó eséllyel fogják megtámadni.
Az utolsó megjegyzésed
Nem csak antiszociális vagy,
Hát igen...
Számítottam ilyen reakcióra, sőt, ez a Részedről jogosnak is tűnhet. Azonban inkorrekt mégsem vagyok, mert nem csak programozzuk az alkalmazást, hanem üzemeltetjük is, ebben a minőségemben van betekintésem az adatbázisba, melyben sokkal személyesebb adatok is vannak a jelszavaknál. Az adatok kezelésére vonatkozóan pedig természetesen minket is kötnek az üzemeltetői szerződésben megfogalmazott adatvédelmi elvek. Ezeket - büntetőjogi felelősségem tudatában - természetesen én is kötelező érvénnyel betartom.
Üdv:
Dávid
Van pár eszmefuttatás a