abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 13:33 | Pozvánky

Byly stanoveny termíny konferencí LinuxDays 2017 a OpenAlt 2017. Letošní LinuxDays proběhne o víkendu 7. a 8. října v Praze v Dejvicích v prostorách FIT ČVUT. Letošní OpenAlt proběhne o víkendu 4. a 5. listopadu na FIT VUT v Brně.

Ladislav Hagara | Komentářů: 0
včera 11:11 | Komunita

Jiří Eischmann z desktopového týmu Red Hatu se v příspěvku Linuxový desktop: Co vám chybí na svém blogu ptá, co uživatele na Fedora Workstation a na linuxovém desktopu obecně trápí a co by desktopový tým mohl zlepšit. Pokud máte nějaké podněty, napište mu je do komentářů.

Ladislav Hagara | Komentářů: 44
včera 03:33 | Nová verze

Byla vydána nová verze 0.25.0 multimediálního přehrávače mpv (Wikipedie) vycházejícího z přehrávačů MPlayer a mplayer2. Z novinek lze zmínit například podporu DVB-T2. Další části mpv byly přelicencovány z GPLv2 nebo novější na LGPLv2.1 nebo novější (#2033).

Ladislav Hagara | Komentářů: 0
včera 02:22 | Zajímavý projekt

Na Bundle Stars byla spuštěna akce Dollar Forever Bundle. Za 1 dolar lze získat 24 počítačových her bežících na platformě Steam také v Linuxu.

Ladislav Hagara | Komentářů: 2
24.4. 23:44 | Zajímavý software

Lychee je jedním z open source softwarů pro tvorbu webových fotoalb. Vyžadováno je PHP 5.5 nebo novější a MySQL. Ukázka na stránkách projektu. Zdrojové kódy jsou k dispozici na GitHubu pod open source licencí MIT [reddit].

Ladislav Hagara | Komentářů: 5
24.4. 22:22 | Zajímavý software

Společnosti Haivision a Wowza společně oznámily vznik SRT Alliance a otevření protokolu pro streamování videa SRT. Podrobnosti v FAQ. Zdrojové kódy SRT jsou k dispozici na GitHubu pod open source licencí LGPLv2.1.

Ladislav Hagara | Komentářů: 0
24.4. 12:33 | Humor

Byl vydán remake filmu Ghost in the Shell. Tentokrát v Bashi. Zhlédnout lze online na "ssh ghost@theshell.xyz" [Hacker News].

Ladislav Hagara | Komentářů: 16
23.4. 20:40 | Zajímavý článek

Lukáš Růžička v článku S Hydrogenem za lepší rytmus aneb bubeníkem snadno a rychle na MojeFedora.cz představuje automatického bubeníka s názvem Hydrogen (Wikipedie): Hydrogen je velmi vydařený program, který rozhodně nesmí chybět ve výbavě žádného linuxového muzikanta. Umožňuje nejen vytváření jednoduchých bicích doprovodů, ale také sofistikované programování bicích a perkusí, jehož výsledek se naprosto vyrovná drahým

… více »
Ladislav Hagara | Komentářů: 17
23.4. 13:55 | Zajímavý projekt

UPSat (Twitter) je první open source nanodružice (CubeSat). Jedná se o společný projekt nadace Libre Space Foundation a University of Patras. Repozitáře projektu jsou k dispozici na GitHubu. Pod Libre Space Foundation patří také projekt SatNOGS (zprávička), projekt globální sítě open source pozemních satelitních stanic, vítězný projekt soutěže The Hackaday Prize 2014. UPSat je součástí mise QB50 (Twitter). ID UPSatu je GR02. GPS přijímač na UPSatu je od české společnosti SkyFox Labs. Součástí mise QB50 je i česká nanodružice VZLUSAT-1 s ID CZ02.

Ladislav Hagara | Komentářů: 5
21.4. 15:00 | Komunita

V diskusním listu Thunderbird planning vývojáři poštovního klienta Thunderbird řeší, zda by nebylo možné budoucí Thunderbird postavit nad webovými technologiemi, tj. nad Electronem, stejně jako například Nylas Mail. Gecko, nad kterým je Thunderbird postaven, se má hodně změnit. V plánu je odstranění vlastností, které Firefox už nepotřebuje, ale Thunderbird je na nich závislý [Hacker News, reddit].

Ladislav Hagara | Komentářů: 103
Chystáte se pořídit CPU AMD Ryzen?
 (4%)
 (34%)
 (0%)
 (7%)
 (45%)
 (9%)
Celkem 299 hlasů
 Komentářů: 42, poslední dnes 01:17
    Rozcestník

    Dotaz: Realizace časové expirace hesla u webové aplikace

    25.10.2011 05:49 j.
    Realizace časové expirace hesla u webové aplikace
    Přečteno: 318×
    Ahoj. We webové aplikaci mám hesla, které po určité době expirují. Ohlídání časové expirace hesla můžu řešit buď při přihlášení nebo během uživatelského sezení. Nevýhodou té kontroly u přihlášení je, že uživatel může být přihlášen hodně dlouho a může si tím vlastně "prodloužit" své heslo. To by šlo ale řešit striktním omezením, že uživatel může být přihlášen např. maximálně 4 hodiny (nezávisle na aktivitě) - výhodou tohoto je, že uživatel bude prostě odhlášen po těch 4 hodinách i když si nastaví refresh v prohlížeči. Nevýhodou je, že může být přerušena legitimní práce slušného uživatele. Jaké konkrétní řešení byste zvolili? Co je rozumné řešení?

    Řešení dotazu:


    Odpovědi

    25.10.2011 08:03 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Rozumné řešení je žádná časová expirace hesla. Ničemu to nepomůže, právě naopak – jenom to otravuje uživatele a je to hodně silný tlak na slabá hesla.
    25.10.2011 08:15 j.
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Slabá hesla zadat nemohou, to mám ošetřené. Je lepší když je heslo silné a mají ho napsané na papírku a nalapené na monitoru než aby to bylo nějaké slovníkové heslo. Nicméně tak či tak mi přijde ta expirace rozumná. Určitě u téhle konkrétní aplikace, protože je docela kritická.
    25.10.2011 09:58 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Jaký problém ta expirace hesla řeší? Pokud má někdo na počítači keylogger nebo zadní vrátka v prohlížeči, změna hesla nepomůže – útočník heslo zjistí znova. Pokud má uživatel heslo nalepené na monitoru a někdo si ho přečte, přečte si změněné heslo znova. Navíc v obou případech donutíte uživatele mít heslo, které bude z pohledu vaší kontroly silné, ale ve skutečnosti to bude slabé heslo – bude to třeba stále totéž, jen s obměnou jedné číslice apod. Útočníkovi, který znal jedno heslo v minulosti, tak stejně pro nalezení nového hesla stačí pár pokusů – i když mezitím ztratí možnost heslo získat přímo. Takže proti jakému druhu útoku ta expirace chrání?

    Pokud je ta aplikace docela kritická, udělejte autorizaci přes SMS nebo jednorázová hesla.
    25.10.2011 13:24 j.
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Zase tak moc kritická není, ale expirace se hodí. Pokud někdo použije stejné heslo pro desítky aplikací i někde ne internetu, pak toto heslo bude muset za nějakou dobu změnit zatímco jinde ne - už to zvýší rapidně bezpečnost. Ale to silné heslo a expiraci nikterak nehrotím, silné heslo je i "Heslo111", expirace tak 5 let, s tím že uživatel dostane upozornění emailem a po expiraci bude mít po prvním přihlášení ještě několik dní grace time.
    25.10.2011 14:06 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Pokud někdo použije stejné heslo pro desítky aplikací i někde ne internetu, pak toto heslo bude muset za nějakou dobu změnit zatímco jinde ne - už to zvýší rapidně bezpečnost.
    Nezvýší.
    expirace tak 5 let
    Za 5 let ta aplikace už nejspíš nebude existovat. A i kdyby náhodou existovala, můžete začít řešit expiraci hesla za 4,5 roku. Navíc je nesmysl řešit prodloužení platnosti hesla o pár hodin z pěti let.
    25.10.2011 18:38 j.
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Většina institucí používá expirace hesel. Proč konkrétně by se tím nezvýšila bezpečnost? Uvažujme konkrétní příklad:

    - uživatel musí použít heslo, které obsahuje alespoň jedno velké písmeno, jedno malé písmeno a nějaká čísla a je dlouhé alespoň 8 znaků
    - uživatelské heslo nemůže být stejné jako 20 jeho předešlých hesel
    - heslo nemůže být podobné uživatelskému jménu
    - nové heslo musí být alespoň o 40% rozdílné než staré heslo
    - heslo lze měnit 1x za den (kvůli historii)
    25.10.2011 22:08 Sten
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Protože uživatelé pak mají tendenci volit si jednodušší hesla, aby si je vůbec zvládnuli zapamatovat.

    http://en.wikipedia.org/wiki/Password_policy#Password_duration
    26.10.2011 08:16 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Nevím, zda většina institucí používá expiraci hesel. Drtivá většina hesel k účtům, které mám, neexpiruje – a v několika případech byla expirace zavedena, a posléze zase zrušena, zřejmě pro nevoli uživatelů. Neznám ze svého okolí jediný případ toho, že by se zavedením expirace hesel nepřešel dotyčný na nějakou jednoduchou řadu hesel, kdy pokud útočník zná jedno heslo, zjistit heslo po změně je otázkou slovníkového útoku o velikosti slovníku několik jednotek nebo desítek variant. Nejlepší jsou takové ty případy, kdy se heslo musí měnit každý měsíc a nesmí se jich 10 opakovat – a celá administrativa pak má heslo s číslem aktuálního měsíce na konci. To je opravdu zvýšení bezpečnosti…

    Ale konkrétně k vaší otázce:
    Proč konkrétně by se tím nezvýšila bezpečnost?
    To je úplně špatně položená otázka. To, že něco zkomplikuje uživateli život, ještě vůbec neznamená, že to zvýší bezpečnost. Správně ta otázka zní: „Jak se tímto způsobem zvýší bezpečnost?“

    Já žádný důvod nevidím. Sníží se tím nějak šance získat aktuální heslo přímo od uživatele nebo útokem hrubou silou? Nesníží, spíš naopak, uživatel bude volit jednoduchá hesla, heslo si možná někam na viditelné místo napíše. Pokud útočník získá heslo, zabrání mu změna hesla páchat další škody? S vysokou pravděpodobností ne, protože se nic nezměnilo na zabezpečení toho, kudy heslo uniklo prvně, takže útočník jen stejným způsobem získá heslo nové – a nebo jednoduše zkusí slovníkový útok s variacemi hesla. Takže jaký je ten druh útoku, proti kterému expirace hesel chrání?

    Mimochodem, když chcete heslo porovnávat na podobnost s uživatelským jménem a 20 předchozími hesly, musíte hesla ukládat v otevřeném tvaru a alespoň při změně hesla je musíte v otevřeném tvaru přenášet. To je podle mne z pohledu správce aplikace mnohem větší bezpečnostní riziko, než dlouho platné heslo. Taky si nejsem jist, zda je vůbec splnitelná podmínka, že budete mít 20 různých hesel a každá dvě bude navzájem rozdílná alespoň o 40 %…
    26.10.2011 14:36 j.
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Mimochodem, když chcete heslo porovnávat na podobnost s uživatelským jménem a 20 předchozími hesly, musíte hesla ukládat v otevřeném tvaru a alespoň při změně hesla je musíte v otevřeném tvaru přenášet. To je podle mne z pohledu správce aplikace mnohem větší bezpečnostní riziko, než dlouho platné heslo. Taky si nejsem jist, zda je vůbec splnitelná podmínka, že budete mít 20 různých hesel a každá dvě bude navzájem rozdílná alespoň o 40 %…
    Nemusím je ukládat v otevřeném formátu. Můžou to být hashe, které by se porovnávaly s novým heslem. A tu rozdílnost o 40% bych bral jen u posledního hesla, které by stejně uživatel musel zadat při změně hesla.

    Nicméně se na tu expiraci asi nakonec vykašlu, jak se zdá přineslo by to jen víc práce pro mě (naprogramovat to) a pro uživatele.
    25.10.2011 12:06 Sten
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    25.10.2011 09:37 kuka
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    A čemu to vadí, pokud je přihlášený dlouho a "prodlouží si heslo"? Ve skutečnosti si ho nijak neprodlouží, kdykoliv dojde na zadání hesla, tak se bude aplikovat test na expiraci, a pokud na zadání hesla nedojde, tak je úplně jedno, jestli je nové nebo staré.
    Tarmaq avatar 25.10.2011 16:17 Tarmaq | skóre: 39
    Rozbalit Rozbalit vše Re: Realizace časové expirace hesla u webové aplikace
    Souhlasim s Filipem Jirsakem, ze nuceni uzivatele zmenit si heslo bezpecnosti moc nepomuze.
    Kazdopadne nevim v cem je problem. Pri nacitani obsahu stranky se uz nyni kontroluje jestli existuje nejaka platna session, je velky problem tuto kontrolu doplnit o zjisteni platnosti uzivatelskeho hesla? V pripade ze heslo uz nebude platne tak uzivatele presmerovat na formular kde si to heslo zmeni.. Jasne, bude to nejaky dotaz do db navic, ale pokud chces takhle hazet uzivatelum klacky pod nohy a mit pritom jistotu ze to neobejdou (jakymsi umelym prodluzovanim platnosti hesla) - je to asi nejlepsi reseni.
    Don't panic!

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.