abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 0
včera 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
včera 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 3
7.12. 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
7.12. 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 2
7.12. 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 6
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 27
6.12. 11:00 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2016-8655 v Linuxu zneužitelné k lokální eskalaci práv. Chyba se dostala do linuxového jádra v srpnu 2011. V upstreamu byla opravena minulý týden [Hacker News].

Ladislav Hagara | Komentářů: 2
5.12. 22:00 | Komunita

Přibližně před měsícem bylo oznámeno, že linuxová distribuce SUSE Linux Enterprise Server (SLES) běží nově také Raspberry Pi 3 (dokumentace). Obraz verze 12 SP2 pro Raspberry Pi 3 je ke stažení zdarma. Pro registrované jsou po dobu jednoho roku zdarma také aktualizace. Dnes bylo oznámeno, že pro Raspberry Pi 3 je k dispozici také nové openSUSE Leap 42.2 (zprávička). K dispozici je hned několik obrazů.

Ladislav Hagara | Komentářů: 6
5.12. 06:00 | Zajímavý software

OMG! Ubuntu! představuje emulátor terminálu Hyper (GitHub) postavený na webových technologiích (HTML, CSS a JavaScript). V diskusi k článku je zmíněn podobný emulátor terminálu Black Screen. Hyper i Black Screen používají framework Electron, stejně jako editor Atom nebo vývojové prostředí Visual Studio Code.

Ladislav Hagara | Komentářů: 50
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (8%)
 (5%)
 (3%)
Celkem 798 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Portál

Skupina se věnuje tomuto portálu z pohledu uživatelů i správců. Probírají se zde funkce abíčka, srazy, najdete zde nápovědu.
Informace o skupině
Založena: 9. 9. 2008
Členů: 25
Článků: 0
Wiki stránek: 14
Dotazů: 127
Akcí: 0
Čtenost: 100 %
Skóre: 34
Štítky: není přiřazen žádný štítek

Dotaz: Re: ukládání hesel ve webových aplikacích

22.8.2011 17:55 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Re: ukládání hesel ve webových aplikacích
Přečteno: 2816×

Diskuse vznikla z vlákna této diskuse.

Odpovědi

22.8.2011 17:55 SPM | skóre: 28
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
no, ne úplně každý studuje zdrojáky od všeho, co používá... spíš mi tohle přišlo už tolik obsolete, že jsem moc nepředpokládal, že zrovna portál jako tento by to používal, proto jsem se divil...
20.8.2011 12:00 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Ono je tím „elegantně“ vyřešeno přihlašování k různým službám (každá může používat jiný způsob hashování hesla), a také není nutné řešit obnovení hesla při jeho zapomenutí – prostě se e-mailem pošle to původní.

Jinak podivovat se nad tím, že provozovatel webu má k dispozici nešifrované heslo, je poněkud zvláštní. Vždyť to tak lidé chtějí. Drtivá většina přihlašování se dělá přes webové formuláře, kdy má majitel webu přístup k nešifrovanému heslu. Přihlášení metodou HTTP DIGEST se skoro nepoužívá, mimo jiné proto, že na jeho podporu v prohlížečích se nedá spolehnout. A i v tomto případě má majitel webu přístup k heslu v otevřeném tvaru při jeho vytváření – protože není standardizována žádná metoda, jak heslo bezpečně nastavit. Když tohle drtivou většinu uživatelů, autorů webů ani tvůrců prohlížečů netrápí, mají, co chtějí – hesla uživatelů může znát kde kdo.
20.8.2011 18:24 SPM | skóre: 28
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Nj, sice to elegantně některé problémy řeší, ale pak to přináší taky další neelegantní problémy... a pořád je ještě nějaký rozdíl mezi tím, kdy provozovatel to heslo v plaintextu "vidí" (někde proběhne) a tím, kdy je doopravdy uloženo...
20.8.2011 18:40 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Nj, sice to elegantně některé problémy řeší, ale pak to přináší taky další neelegantní problémy...
Nepřináší. Jenom to odkrývá problémy, které existují i bez toho.
pořád je ještě nějaký rozdíl mezi tím, kdy provozovatel to heslo v plaintextu "vidí" (někde proběhne) a tím, kdy je doopravdy uloženo
V tom sice rozdíl je, ale vy jako uživatel netušíte, co s tím provozovatel doopravdy dělá.
scolopes avatar 21.8.2011 09:33 scolopes | skóre: 3
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Minimálně jedno nebezpečí to přináší: pokud jsou hesla v plaintextu, můžou si je přečíst/ukrást všichni, kdo adminovali za celou dobu existence účtu. Pokud je hashované, může si ho odchytit jen ten admin, který adminuje v danou chvíli.
21.8.2011 09:56 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Jenže vy jako uživatel nevíte, zda se ta hesla v otevřeném tvaru neukládají. A nemusí to vědět ani administrátor… Prostě když uživatel někomu heslo v otevřeném tvaru poskytne, nemůže se pak divit, že ho dotyčný může mít uložené.
21.8.2011 13:24 SPM | skóre: 28
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
To že to nevím neznamená automaticky že se to vždy děje... takže bych tak tipl že u většiny služeb se to heslo jenom ověří a tim to končí. Zatímco v případě plain/textu v db to heslo vidí každý kdo tam má přístup, nedejbože když tu db někdo ukradne. Takže za mě si pořád myslím, že plaintext forma v db přináší některé problémy navíc.
Jendа avatar 21.8.2011 16:02 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Asi jsi předchozí komentář nepochopil ;). Jde o to, že ty jako uživatel nevíš, jestli i když server říká, že hashuje, neukládá hesla i „někam vedle“, takže musíš zachovávat stejná bezpečnostní opatření (nepoužívání stejného hesla na více webech) tak jako tak.
21.8.2011 18:41 SPM | skóre: 28
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
K tomu už snad lze napsat jenom jediné: Kdy konečně bude fungovat OpenID? :D
Luboš Doležel (Doli) avatar 21.8.2011 19:07 Luboš Doležel (Doli) | skóre: 98 | blog: Doliho blog | Kladensko
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Nebude. Na LDAP jsou napojeny i další služby, u kterých si nedovedu OpenID představit (např. Jabber).
22.8.2011 07:57 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Tak zapomeňte na to, že tady jsou hesla uložená v otevřeném textu. Tím se dostanete do stavu, kdy nevíte, a budete spokojen.
22.8.2011 09:25 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
A nedá mi to: To, že to vím nebo to nevím nebo mě přesvědčíte o tom, že je to hashované a není, tak to je otázkou důvěry. Takže pokud hashované nejsou a ví se to, tak tomu logicky každý věří, pokud hashované nejsou a tvrdí se to, tak se to může věřit a nemusí.

Nicméně co se následných rizik týče, čitelná hesla jsou to nejhorší co může být, pak jsou symetricky šifrovaná hesla a nejlíp jsou na tom v tomto případě patřičně osolené hashe.
Nebavíme se o riziku/důvěře, že nevím jestli je to opravdu tak, jak se říká ani o tom jestli při „prvním“ zadávání bylo heslo ještě někde do-uloženo v plaintextu, ale o tom faktu, že ta hesla tam leží v nešifrované podobě a kdokoliv má přístup (byť pečlivě vybraná osoba), je vidí i když by třeba ani nechtěl (já bych třeba nechtěl mít možnost je vidět). Jakákoliv drobná chyba může způsobit, že se dostanou kam nemají, jsou čitelná v zálohách atd. a toto riziko stále trvá po blíže nespecifikovanou dobu.
Nebudu nijak rozvádět, jestli je nutné pro portál jako tento mít hesla nějak super zabezpečená, nebo je to nějaký faktický problém že jsou v plaintextu, protože rizika jsou nízká. Nicméně si myslím, a to je opět ta důvěra, že uživatel při změně hesla, by měl být informován, že je portál ukládá v čitelné podobě, pokud je tak ukládá - to je takový dobrý zvyk :-)
Otázka: „vadí mi to, že hesla jsou zde v plaintextu“, odpověď: „nevadí“
Otázka: „uložil bys hesla v plaintextu v takovémto případě“, odpověď: „doufám, že nikdy“ :-)

Tak zapomeňte na to, že tady jsou hesla uložená v otevřeném textu. Tím se dostanete do stavu, kdy nevíte, a budete spokojen.
- tím si moc důvěry nikdo nezíská :-)

To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
22.8.2011 09:47 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Asi jsem to napsal nejasně. Tak to zkusím ještě jinak: každý web, kam se přihlašujete přes webový formulář, ukládá vaše hesla v otevřeném tvaru.

Je tedy zbytečné, aby o tom nějaký web explicitně informoval uživatele – musel by to dělat každý web. Tady je povyk kolem toho, že je to vidět ve zdrojových kódech a různí představitelé Abíčka to opakovaně v diskusích potvrdili (dříve Leoš, nyní Luboš). Pak tady v diskusi někdo složitě vysvětluje, že když se hesla ukládají a ví to, je to strašně nebezpečné, ale kdyby to nevěděl, cítil by se mnohem bezpečněji.

Připadá vám tvrzení, že se všude na webu hesla ukládají v otevřeném tvaru, jako moc silné? Tak u nějakého webu dokažte, že ta hesla neukládá správce a že není hacknutý web ani síťová infrastruktura, takže ta hesla neukládá nějaký záškodník. Hodně štěstí.
22.8.2011 12:31 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
„každý web, kam se přihlašujete přes webový formulář, ukládá vaše hesla v otevřeném tvaru“
prosím přeformulovat nebo dokázat :-), pokud ovšem ukládáním nerozumíme dočasný přenos plaintextové informace - to je současně reakcí na poslední odstavec….

„Tady je povyk“
nechci dělat povyk a doufám, že jej nedělám (jak jsem psal, mně to nevadí a toto není jediný web který to dělá), jen zpochybňuji tvrzení, že když je heslo uloženo v plaintextu, tak je to stejně jedno, protože při každém přihlašování tam to heslo stejně doběhne v plaintextu.
Prostě není, ty rizika jsou výrazně vyšší, to, že předpokládáte, že každý web, je hacknutý a správce sbírá hesla, je bezpochyby správně v tom směru, že znáte rizika, nicméně to nelze postavit na stejnou úroveň trvale/hromadně/zaručeně uložených hesel - to je rozdíl mezí cíleným „útokem“ a náhodným únikem.

Chápu Vaši argumentaci, vedoucí k závěru (mými slovy), že ověření uživatele stojí za prd, protože nám to tu všechno lítá viditelně jak čarodějnice na Petrákách.

To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
22.8.2011 13:17 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
prosím přeformulovat nebo dokázat :-), pokud ovšem ukládáním nerozumíme dočasný přenos plaintextové informace - to je současně reakcí na poslední odstavec….
Ne, to není reakce na poslední odstavec. V posledním odstavci jsem chtěl důkaz, že existuje nějaký web, který ta hesla určitě neukládá. Pokud to dokázat neumíte, musíte předpokládat, že hesla v otevřeném tvaru ukládá každý web. O tom tu celou dobu píšu, ale někdo evidentně raději strká hlavu do písku.
jen zpochybňuji tvrzení, že když je heslo uloženo v plaintextu, tak je to stejně jedno, protože při každém přihlašování tam to heslo stejně doběhne v plaintextu
Nic takového jsem ale já netvrdil.
Prostě není, ty rizika jsou výrazně vyšší
K tomu ale pořád chybí ten důkaz, že web hesla neukládá.
nicméně to nelze postavit na stejnou úroveň trvale/hromadně/zaručeně uložených hesel - to je rozdíl mezí cíleným „útokem“ a náhodným únikem
Jak ten rozdíl jako uživatel zjistíte?
22.8.2011 14:51 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Něco jiného je rizika předvídat, počítat s ními a něco jiného úmyslně vytvářet.

K tomu ale pořád chybí ten důkaz, že web hesla neukládá. No to můžu doložit některé údaje u mnou spravovaného webu, ale mohli bychom jít do nekonečna, protože to nebudete považovat za konečný důkaz, protože žádný 100% důkaz nemůže existovat, a kdyby jste i informace akceptoval, tak napadnete únik po cestě k webu, takže je to debata o ničem.
Rizika se (obecně) prostě eliminují v dané situaci všemi dostupnými prostředky a plaintext heslo v databázi neznamená skoro v žádné situaci „eliminovat dostupnými prostředky“.

Jak ten rozdíl jako uživatel zjistíte?
pravděpodobně nijak, měřitelný údaj by mohl být statistický, ale myslím že faktický důkaz není třeba. Heslo v plaintextu je prostě riziko navíc, jak pro náhodný únik, tak pro cílený únik. Prostě riziko je vyšší.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
22.8.2011 15:08 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
protože žádný 100% důkaz nemůže existovat
No sláva, jsem rád, že jste na to konečně přišel.
Rizika se (obecně) prostě eliminují v dané situaci všemi dostupnými prostředky a plaintext heslo v databázi neznamená skoro v žádné situaci „eliminovat dostupnými prostředky“.
Ale asi to stále nechápete. Jako uživatel musíte u všech webů předpokládat, že heslo ukládají v otevřeném tvaru. Takže když to tak nějaký web opravdu dělá, nemůže to být pro uživatele nic nečekaného a nijak to jeho bezpečnost nezhoršuje. Když se mi majitel webu snaží namluvit, že on hesla neukládá a má vše perfektně zabezpečené, přece to ještě neznamená, že mu to budu věřit.
Prostě riziko je vyšší.
Vyšší než co? Vyšší než stav, kdy jako uživatel nevíte, zda je heslo ukládáno v otevřeném tvaru? Takže když se někdo podívá do zdrojáků Abíčka a zjistí, že se hesla ukládají v otevřeném tvaru, jeho bezpečnost se snížila? To těžko.
22.8.2011 15:50 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
No sláva, jsem rád, že jste na to konečně přišel. - Ale já to vím od začátku :-).

Druhý odstavec, nepracuje vůbec s důvěrou a otočme to trochu. I když to ten serveru může potencionálně dělat, tak to neznamená, že to dělá. Co předpokládáte jako uživatel je irelevantní. Předpokládáte to, co až jste ochoten považovat za „reálné“ riziko. Ale fakt, že server ukládá heslo v plaintextu je prostě jasný rizikový faktor.
Je zřejmé, že já odmítám přistoupit na Vaši ideu „když už to riziko tam potenciálně existuje, je jedno jestli je »zdvojené«“. A vy přistoupit na mou, že uložením hesla v plaintextu se vytváří další rizika, a že uživatel může i serveru důvěřovat a věří tomu, že je uděláno maximum pro uchování vzájemné důvěry, tudíž mu nemusí vadit, že server „vidí dočasně“ jeho heslo.

Ne, heslo uložené v plaintextu je vyšší riziko úniku hesla třetí straně a prokazatelně chudák administrátor serveru má přístup k těmto heslům aniž by chtěl, bez ohledu na to co ví uživatel - o toto mi jde.
Jak to zvyšuje míru rizika? …musely by se stanovit hodnoty jednotlivých faktorů, ale obecně je to na libovolný koeficient větší od jedničky.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
22.8.2011 16:38 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
I když to ten serveru může potencionálně dělat, tak to neznamená, že to dělá.
Takové uvažování ale nemá s bezpečností vůbec nic společného.
A vy přistoupit na mou, že uložením hesla v plaintextu se vytváří další rizika, a že uživatel může i serveru důvěřovat a věří tomu, že je uděláno maximum pro uchování vzájemné důvěry, tudíž mu nemusí vadit, že server „vidí dočasně“ jeho heslo.
Žádné další riziko se nevytváří. Já jako uživatel musím předpokládat, že server hesla v otevřeném tvaru ukládá (nemám žádný způsob, jak zjistit, že to nedělá). Takže když to server opravdu dělá, není to nic navíc oproti mému předpokladu.
uživatel může i serveru důvěřovat a věří tomu, že je uděláno maximum pro uchování vzájemné důvěry, tudíž mu nemusí vadit, že server „vidí dočasně“ jeho heslo
Pak mu nemusí vadit ani to, že má server heslo uložené.
Ne, heslo uložené v plaintextu je vyšší riziko úniku hesla třetí straně
Pořád dokola opakujete „vyšší riziko“, a pořád odmítáte napsat vyšší než co. Hesla uložená v otevřeném tvaru je větší riziko než hesla uložená v otevřeném tvaru? Vždyť to jsou dvě stejné věci, takže riziko je logicky v obou případech stejné.
22.8.2011 17:07 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Takové uvažování ale nemá s bezpečností vůbec nic společného. - má, součástí bezpečnosti je i důvěra.

Pak mu nemusí vadit ani to, že má server heslo uložené. - pročpak ne, to že věřím, že systém se chová nějak ještě neznamená, že věřím tomu, že nemůže systém být napaden a DB zcizena, nebo že se do DB podívá neoprávněná osoba při servisním zásahu, nebo někdy se vyskytne záloha či si to vyžádá policie apod.

Pořád dokola opakujete „vyšší riziko“ - to, že to nechcete přijmout ještě neznamená, že jsem to nenapsal. Hesla uložená v plaintextu než hesla uložená jako hash, jsou vyšší riziko, o kolik „nelze stanovit z placu“ ale lze to vyjádřit libovolným koeficientem větší než jedna.
Demagogii typu „Hesla uložená v otevřeném tvaru je větší riziko než hesla uložená v otevřeném tvaru“ sem vnášíte vy ne já, jen na základě toho, že stavíte na roveň přenos a permanentní uložení.
I když se 20 let nepřihlásíte na server, tak je zde 20let kdy někdo může přečíst vaše heslo.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
22.8.2011 17:22 lukas
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Možná máte pravdu, ale dost krmení, prosím.
22.8.2011 17:48 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Prosím?, s panem Jirsákem tu diskutuje, asi se neshodneme, ale nemám pocit, že bych já či on troloval…
A že vlákno vzniklo z něčeho jiného, to přece nevadí, prosím nečtěte jej.
děkuji :-)
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
22.8.2011 17:54 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
má, součástí bezpečnosti je i důvěra.
Ovšem důvěra a bezdůvodné spoléhání na to, že tohle se mi nelíbí tak se to nestane, to jsou dvě zcela odlišné věci.
pročpak ne, to že věřím, že systém se chová nějak ještě neznamená, že věřím tomu, že nemůže systém být napaden a DB zcizena, nebo že se do DB podívá neoprávněná osoba při servisním zásahu, nebo někdy se vyskytne záloha či si to vyžádá policie apod.
Když může být systém napaden, může si tam útočník nainstalovat program, který bude hesla ukládat. Jaký je v tom z pohledu uživatele rozdíl? Nebo co když se ta hesla ukládají omylem, někdo třeba nechal zapnutou vysokou úroveň logování. Rozdíl je jen v tom, zda uživatel o ukládání ví nebo ne. To přece ale není rozdíl v bezpečnosti.
Hesla uložená v plaintextu než hesla uložená jako hash, jsou vyšší riziko, o kolik „nelze stanovit z placu“ ale lze to vyjádřit libovolným koeficientem větší než jedna.
Jenže tady se nebavíme o tom, jak hesla jsou uložená – zda nejsou uložená i v otevřeném tvaru totiž nikdo neví. Takže celou dobu řešíme jen případ, že si uživatel myslí, že jsou data uložená v otevřeném tvaru, nebo si myslí, že jsou uložené jejich hashe. Podle vás v tom je rozdíl, podle mne není, protože když nevím skutečný stav, musím předpokládat tu nejhorší možnou variantu, a tou jsou v obou případech hesla uložená v otevřeném tvaru.
stavíte na roveň přenos a permanentní uložení
Já to nestavím na roveň. Já jenom vím, že když už k někomu to heslo doputuje, má možnost ho uložit – ať už záměrně, nebo chybou. Vy spoléháte na to, že jsou všichni kolem hodní a neomylní, a když vám někdo bude tvrdit, že ta hesla neukládá, budete mu to věřit. Kdyby tady Luboš nenapsal, že hesla neodpovídají, ale napsal by, že hash vytvořený z hesla neodpovídá, někteří lidé tady v diskusi by si pochvalovali, jak se zvýšila bezpečnost jejich hesel. Přitom fakticky by to bylo pořád stejné.
I když se 20 let nepřihlásíte na server, tak je zde 20let kdy někdo může přečíst vaše heslo.
Oproti dvaceti letům, kdy někdo může přečíst mé heslo. Nemůžu si pomoct, ale je to to samé. Nevnesl jsem to sem já, ale vy.
22.8.2011 18:46 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Když může být systém napaden, může si tam útočník nainstalovat program, který bude hesla ukládat. - ne že bych to nečekal. No z pohledu uživatele v důsledku není rozdíl, ale to je důsledek. Hezky jste vyjmenoval rizika, kterýma je se třeba zabývat (chyby, nastavení), a já tvrdím, že jeden bod s těchto rizik je uložené heslo v plaintextu, protože přidává možnost získat ta hesla z databáze klidně zase těmi stejnými cestami  „chyby, nastavení…“.

Ano, když nevím skutečný stav předpokládám to nejhorší (co v dané situaci považuji za nejhorší), takže ano jako uživatel jsem v podobné (,že ve stejné si nemyslím…) situaci ať to vím či ne.
Ale systém jako takový je snáze napadnutelný (ve smyslu odcizení hesla), protože dává další možnosti/rizika jak jej získat (a navíc dává »neomezené« časové okno pro zcizení).

Vy spoléháte na to, že jsou všichni kolem hodní a neomylní - ne-ne, já jsem si plně vědom, že k tomu může dojít, ale má víra je v tom, že tvůrce webu/aplikace se snaží rizika eliminovat a chránit tak mě i sám sebe.

Kdyby tady Luboš nenapsal, že hesla neodpovídají, ale napsal by, že hash vytvořený z hesla neodpovídá, někteří lidé tady v diskusi by si pochvalovali, jak se zvýšila bezpečnost jejich hesel. - pokud by jsme vyšli ze stavu, že jsou hesla uložena v plaintextu a změna by bylo zašifrování či zaheshování, tak se ochrana hesel před zcizením zvýšila. Vztah mezi uživatelem a serverem v čistě logické bezpečnostní rovině se nezměnil, nicméně obecný vztah posílil, protože server zvýšil ochranu hesel.

Poslednímu úplně nerozumím, snad si to nevykládám špatně. Říkáte, že je jedno jestli je heslo přístupné jen sem tam (při přihlášení), nebo je zaručeně někde 20let k dispozici?
Za předpokladu, že bylo zcizeno již před/při posledním přihlášením, tak ani tak není důsledek toho rizika stejný, protože za 20 let může dojít k dalším zcizením a s počtem krádeží vzrůstá možnost zneužití.
Připomenu, že se bavíme obecně, ne zde na abíčku, kde důsledky zcizení jsou, aspoň tedy pro mě, malé.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
23.8.2011 08:19 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
No z pohledu uživatele v důsledku není rozdíl, ale to je důsledek.
Jenže o pohledu uživatele se tady celou dobu bavíme. Nebo vy máte práva ke čtení hesel v LDAP databázi nebo administrátorská práva k počítačům, kde běží Abíčko?
já jsem si plně vědom, že k tomu může dojít, ale má víra je v tom, že tvůrce webu/aplikace se snaží rizika eliminovat a chránit tak mě i sám sebe.
V tom případě zase nevím, proč vám vadí hesla uložená v otevřeném tvaru. To, jestli hesla jsou nebo nejsou uložená v otevřeném tvaru je z pohledu uživatele tak nepatrný rozdíl v bezpečnosti… Navíc jako uživatel si to stejně nijak nemůžu ověřit, takže to pro mne tu rozdílnost stírá na nulu. Nesrovnatelně větší dopad na bezpečnost má to, jak „velký a aktivní“ je profil toho, co to heslo chrání. Když je to nějaká registrace pro demoverzi programu, klidně tam budu používat stejné heslo, a je mi jedno, zda ho správce ukládá v otevřeném tvaru. V případě sociálních sítí nebo e-mailu, odkud už jsou dohledatelné další věci, zase budu používat unikátní hesla, i když mi správce bude tvrdit, že ukládá jenom hash. V ideálním případě samozřejmě použiju nějaký generátor a správce hesel na všechno, a pak už na způsobu uložení hesel na serverech nezáleží vůbec.
pokud by jsme vyšli ze stavu, že jsou hesla uložena v plaintextu a změna by bylo zašifrování či zaheshování, tak se ochrana hesel před zcizením zvýšila. Vztah mezi uživatelem a serverem v čistě logické bezpečnostní rovině se nezměnil, nicméně obecný vztah posílil, protože server zvýšil ochranu hesel.
Takže stačí, aby tady Luboš napsal, že od teď jsou hesla hashovaná, a vaše bezpečnost se zvýší? Moje ne.
Říkáte, že je jedno jestli je heslo přístupné jen sem tam (při přihlášení), nebo je zaručeně někde 20let k dispozici?
Neříkám, že je to jedno, ale že to jako uživatel nejsem schopen poznat. A 100% to není schopen zaručit ani správce – on sice může mít hesla uložená zahashovaná, ale těch 20 let mohou být uložena někde jinde.
23.8.2011 11:47 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Jenže o pohledu uživatele se tady celou dobu bavíme. Nebo vy máte práva ke čtení hesel v LDAP databázi nebo administrátorská práva k počítačům, kde běží Abíčko?
Ne bavíme se šířeji o rizicích. Nemám, doufám, ale pokud bych měl tak si ta hesla přečtu, ale pokud by byla hashovaná, tak ne.

Znovu zopakuji „mně to nevadí tady“, jen neustále opakuji že to není stejné, protože možností k zcizení toho hesla a zneužití, je více.
To, že z pohledu uživatele jsou jednotlivé weby/registrace důležité a nedůležité (nebo jinak hodnocené), a že podle důležitosti volíte různá hesla (ano, také pro důležité věci, většinou hesla generuji a pro nedůležité používám sadu universálních hesel) nedefinuje zabezpečení toho hesla.

Takže stačí, aby tady Luboš napsal…
pokud to napíše a neudělá to, tak se zabezpečení hesla ani má bezpečnost (,na kterou heslo nemá vliv) nezvýší. Ale vyvolá to (pravděpodobně u spousty lidí) pocit, že se zabezpečení zvýšilo. Ovšem když to praskne dojde ke ztrátě důvěry - „lhát se nemá, maximálně neříkat pravdu!“.

Neříkám, že je to jedno, ale že to… - ano neustále operujete s tím, že nikomu nevěříte, ale tu mez máme obvykle stanovenou blíže než ji stavíte vy, protože pak by to opravdu znamenalo, že není třeba používat hesla protože jsou zbytečná. Já heslo chápu jako něco jako „podpis smlouvy“ mezi klientem a serverem a očekávám, že je server se snaží můj podpis chránit a jsem si vědom, že to nikdy nebude 100%, ale očekávám, že server minimalizuje příležitosti k použití toho podpisu.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
23.8.2011 12:59 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Ne bavíme se šířeji o rizicích.
Co to znamená „šířeji o rizicích“? Tady se bavíme konkrétně o uživatelích Abíčka. Prohlášení Luboše o tom, zda se hesla hashují nebo nehashují ta rizika nějak mění?
Nemám, doufám, ale pokud bych měl tak si ta hesla přečtu, ale pokud by byla hashovaná, tak ne.
Pokud by byla hashovaná, tak si je přečtete také – pokaždé, když je klient pošle.
Znovu zopakuji „mně to nevadí tady“, jen neustále opakuji že to není stejné, protože možností k zcizení toho hesla a zneužití, je více.
Jenže pořád vycházíte z nějaké virtuální situace, kdy uživatel ví, jak to na serveru ve skutečnosti je. Jenže v reálném světě to uživatel neví a vědět nemůže.
podle důležitosti volíte různá hesla nedefinuje zabezpečení toho hesla
To, že správce webu vidí hesla, je nebezpečné z jediného důvodu – když to samé heslo uživatel používá i někde jinde. Když je to heslo unikátní, není to žádný problém, protože správce webu může stejně udělat cokoli jménem uživatele i bez znalosti jeho hesla.
ano neustále operujete s tím, že nikomu nevěříte, ale tu mez máme obvykle stanovenou blíže než ji stavíte vy, protože pak by to opravdu znamenalo, že není třeba používat hesla protože jsou zbytečná. Já heslo chápu jako něco jako „podpis smlouvy“ mezi klientem a serverem a očekávám, že je server se snaží můj podpis chránit a jsem si vědom, že to nikdy nebude 100%, ale očekávám, že server minimalizuje příležitosti k použití toho podpisu.
Jenže vy ty hranice máte právě nastavené nějak divně. Na jedné straně je absolutní důvěra, kdy se nepoužívají hesla. Pak není dlouho dlouho nic, a pak jsou hesla uložená v otevřeném tvaru a uložený hash hesel. Rozdíl v bezpečnosti je tam minimální, uživatel ani nemá možnost jej zjistit. Pak zase dlouho dlouho nic není, a pak je přihlášení pomocí hashe z unikátního hesla a výzvy (to unikátní heslo může být třeba hash základního hesla a jména serveru) a přihlášení dvojicí klíčů. Je nesmysl řešit pořád ten minirozdíl v různých variantách toho, když uživatel při každém přihlášení posílá otevřené heslo – zvlášť když uživatel nemá šanci zjistit, o kterou variantu jde, a to, že se hesla neukládají je pro uživatele jen šťastná náhoda, rozhodně ne něco, na co by se mohl spolehnout.
23.8.2011 15:41 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Mám pocit, že se oba opakujeme v různých variantách a nechci chodit dokolečka.
Dovolil bych si to shrnout a nechat to tak, co?:

Já si myslím:
Hashováním hesla snižuje rizika jeho zneužití, protože není heslo přístupné v čitelné formě a tím je snížena možnost jej získat a zneužít. A je slušné a správné hesla alespoň symetricky šifrovat, nebo lépe osolit a hashovat.

Vy si myslíte:
Hashovaním hesla se nezvýší bezpečnost, protože hesla na server minimálně při přihlášení putují v plaintextu a z pohledu uživatele nemáte nikdy zaručitelné chování serveru, který si s heslem může udělat co chce.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
23.8.2011 17:16 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Tím jste ale shrnul jenom to, co tvrdíte vy :-) Já tvrdím to, že uživatel má dvě možnosti – buď správci webu důvěřuje, že systém dostatečně zabezpečí tak, aby nedošlo k zneužití uživatelova hesla (a uživateli už je jedno, jak to správce udělá, protože uživatel nemá žádnou možnost, jak to zkontrolovat); nebo uživatel správci tolik nedůvěřuje, a pak musí buď použít unikátní heslo, nebo použít takový způsob přihlašování, u kterého se heslo v otevřeném tvaru nikdy neposílá (např. HTTP DIGEST s tím, že při nastavení hesla se nebude posílat serveru heslo, ale až první hash).
23.8.2011 18:24 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
OK, tedy shrnutí „Vy si myslíte:“, beru zpět.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
kralуk avatar 25.9.2011 17:57 kralуk | skóre: 29 | blog: Untitled
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Pokud by byla hashovaná, tak si je přečtete také – pokaždé, když je klient pošle.
No, ale on je třeba nepošle, žejo. Kolikrát denně se přihlašuješ na abc?

Co jsem tak zběžně přeletěl tu diskusi, tak tvůj hlavní argument je, že z pohledu uživatele to je jedno. To ale platí pouze pro svědomitého uživatele, pak jsou uživatelé, kteří třeba použijí stejné heslo pro více služeb. V takovým případě je hashované (a řádně osolené) heslo bezpečnější, ačkoli třeba jenom o něco.

Další věc je, že mnoho lidí může mít pro každý server jiné heslo, ale může mít nějaký systém v těch heslech - třeba nějakou společnou část a podobně. Koneckonců, kdo si má ty stovky unikátních hesel pamatovat? Znát jedno heslo pak může útočníkovi pomoct při lámání/hádání ostatních.

No, a úplně nakonec, zatím afaik nepadl důvod proč nehashovat. Jestliže nemáme pádný důvod, proč nehashovat a zároveň víme, že eixstují situace, kdy hashování bezpečnosti pomůže (nepoučený uživatel,...), je odpověď celkem jasná.

Abc fortunes  |  Blog  |  PHP v kostce: $a = 'z'; $a++; $a < 'z'  // vrátí true
22.8.2011 17:21 lukas
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Pane Filipe Jirsáku, prosím, nekrmte mohutně svými dalšími a dalšími příspěvky neustále trolla (troll = člověk, který založil tento dotaz nahoře, tuto naprostou volovinu).

Diskuzi o heslech si umím představit pod dotazem, týkajícím se hesel obecně nebo pod blogem.

Ale proboha ne pod dotazem jakési trollující MIRIAM a1b2c3, které tím krmením možná poskytujete emociální uspokojení a jen ji vybízíte k dalšímu trollování. Dost bylo krmení!

Děkuji.
Fluttershy, yay! avatar 22.8.2011 17:28 Fluttershy, yay! | skóre: 81 | blog:
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
A co jako? To záleží na tom, kde se diskutuje?
22.8.2011 21:26 antitroll
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Spíš měl být ten původní "dotaz" zamčenej a později smazanej jako mnoho jiných. Divím se, že Luboš na tu zjevnou provokaci vůbec odpovídal. Jinak ta diskuze o heslech je zajímavá.
22.8.2011 17:57 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Diskusi o heslech jsem odštěpil do samostatného vlákna. Stačí?
22.8.2011 19:09 SPM | skóre: 28
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Asi ji ztěží krmí, když do té diskuze vůbec nepřispívá, že...
22.8.2011 19:22 SPM | skóre: 28
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Takové uvažování ale nemá s bezpečností vůbec nic společného.
To tvrzení, že hashovat hesla nemá smysl, pač to ničemu nepomůže taky. Ostatně, když to vememe do konce - proč pak tu autorizaci vůbec máme? Jako uživatel musím počítat s tím, že to heslo může kdokoliv zneužít a že systém je natolik děravý, že se tam může kdokoliv dostat. Pak se tedy můžu smířit s tím, že se kdokoliv může přihlásit na svůj účet, hesla můžeme úplně zrušit a budeme zadávat jen username pro naše osobní nastavení...
23.8.2011 08:02 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
To tvrzení, že hashovat hesla nemá smysl, pač to ničemu nepomůže taky.
Souhlasím. On tady někdo něco takového tvrdil?
Luboš Doležel (Doli) avatar 21.8.2011 15:24 Luboš Doležel (Doli) | skóre: 98 | blog: Doliho blog | Kladensko
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Adminovali server, kde Abc běží. Běžní administrátoři portálu se k heslu nemají jak dostat.
Petr Tomášek avatar 26.9.2011 09:52 Petr Tomášek | skóre: 36 | blog: Vejšplechty
Rozbalit Rozbalit vše Re: OFF TOPIC k portálu ABCL
Jinak podivovat se nad tím, že provozovatel webu má k dispozici nešifrované heslo, je poněkud zvláštní.
Lidé chtějí spoustu cípovin (např. většina chce heslo typu „123“).

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.