Nová webová prezentace komunikátoru Pidgin (diskuse)

[otula]

Zrovna včera na OSNews vzpomínali, že Pidgin ukládá hesla v plaintextu :-o

[Foo Bar]

http://developer.pidgin.im/wiki/PlainTextPasswords

[cezz]

Asi spolieha na to, ze subor do ktoreho ich uklada je dostatocne zabezpeceny uzivatelskym heslom v home dire Pravdou ale je, ze nejaka integracia s gnome keyring-om pripadne jeho obdobou v inych desktopovych prostrediach by bola celkom fajn.

Ci to ma zmysel - zvlast pri protokoloch, ktore posielaju plaintextom kdec rovno cez internet, je tiez na dlhsiu uvahu.

Centralizovana sprava hesiel by vsak vseobecne mohla byt zaujimava.

[otula]

No zatím to jen okecávají s tím, že je to složité (ale Toyota *), protože Pidgin funguje ve spoustě různých prostředí.

*) Nic není nemožné

[freshmouse]

Ukládá je, pokud je uživatel chce ukládat. A není sám, někdo tu včera vzpomínal třeba CenterICQ, které to dělá taky. Ne, že bych to obhajoval...

[otula]

CenterICQ se také může omlouvat tím, že funguje úplně všude :)

[Marek Bernát]

Čo to znamená úplně všude? Funguje aj na mobiloch? Alebo tým myslíte len linux/BSD? To totiž zďaleka nie je všude a nie je to ani nič extra oproti stovke ostatných IM. Detto Pidgin…

[Marek Bernát]

Ou a zabudol som ešte na windows. Ale tam tiež chodí všeličo

[otula]

Marek se opět nějak chytá slovíček Takže opravuji: chodí pouze v Linuxu, FreeBSD, OpenBSD, NetBSD, Sun Solaris, MacOS X/Darwin a Microsoft Windows

[Marek Bernát]

Zdala sa mi divna tá argumentácia „beží všade, preto nemusí niečo podporovať”. Tá argumentácia by mala zmysel za a) žiadny iný klient by nefungoval zároveň pod lin/bsd/win (čo zďaleka nie je pravda), alebo za b) CenterICQ/Pidgin funguje doslova všade a to vrátane mobilov, PDA a ja neviem čoho ďalšieho. A to tiež nie je pravda. Nešlo mi (tentokrát) o slovíčka.

[otula]

To byla narážka na to, že v tomto smyslu argumentují tvůrci Pidgina. A bylo to myšleno obrazně, nikoliv doslova.

[Marek Bernát]

To som nevedel, že tak argumentujú oni. Tak potom to platí na nich, nie na teba

[peter]

A čo má byť? Súbor je čitateľný iba pre vlastníka. Keby to heslo aj bolo šifrované, aj tak ho ktokoľvek môže čítať, pretože zdrojáky sú voľne k dispozícii.

[freshmouse]

Keby to heslo aj bolo šifrované, aj tak ho ktokoľvek môže čítať, pretože zdrojáky sú voľne k dispozícii.

Nechápu.

[Hynek (Pichi) Vychodil]

Nechápu.

No to máš blbé.

[Jirka]

Co? Hesla se mají ukládat prohnané hašovací funkcí. A kvalita hašovací funkce (a obecně šifrovací algoritmy) nesmí být závislá na znalosti algoritmu.

[freshmouse]

Třeba se "ta" šifra provádí tak, že se heslo ukládá "pozpátku". Třeba takto: olseh. To potom ty obavy chápu.

[Luboš Doležel (Doli)]

Jenže s tím hashem už se nepřihlásíte k síti.

[Jirka]

To je pravda. Vhodnější by bylo je symetricky zašifrovat s tím, že vložením klíče (hesla) se dešifrují. Tak jako to dělá KWallet. (alespoň myslím )

[otula]

Hm, to je pravda. Detail, který nepotěší.

[otula]

Tak mi teda řekni, jaké heslo je v těchto 2 šifrách (je stejné, jen jinak šifrované):
b6f862a53dd00dcc5a24fc2256bd0688
6236663836326135336464303064636335613234666332323536626430363838
:-p

[Hynek (Pichi) Vychodil]

Hmm, a když mi k tomu dáš zdroják, kterým to rozkodováváš, tak jako pidgin, tak ti to řeknu za chvilku, troubo.

[otula]

To první je obyčejný md5sum, druhý je překódován přes bin2hex. Ale to, co mně nedocvaklo, vystihnul Luboš Doležel o pár příspěvků výše - že totiž takto uložený hash by nebyl použitelný pro ověření hesla přes síť.

[Jirka]

A faktorizovat dvě *opravdu* obrovské - neznámé - prvočísla z jejich součinu byste neuměl?

[Hynek (Pichi) Vychodil]

Pro autorizaci pro ICQ není možné použít hash, musíš mít k dispozici plaintext, tedy dodaný program musí být schopen vytvořit plaintext podobu hesla, na to opravdu nepotřebuji faktorizovat dvě *opravdu* obrovské - neznámé - prvočísla z jejich součinu.

[Jirka]

Ano to jsem si uvědomil a uznal (viz. výše). Ale tady se teď bavíme o "dešifrování kódu při znalosti zdrojových textů". A neřvi na mě.

[Hynek (Pichi) Vychodil]

Vážně? Já myslel, že se tu bavíme o tom, že je úplně jedno jestli u programu Pidgin nebo jakýkéhokoli jiného ICQ clienta má smysl ukládat hesla jinak než v plaintextu a odpověď zní nemá, protože jinak by do toho programu nutně muselo při každém spuštění přicházet něco zvenčí (dešifrovací passfráze) a na to jsou uživatelé příliš líní. Od začátku až dokonce je tohle debata u zprávičky o Pidgin tak si nechte tyhle kecy od cesty.

[Marek Bernát]

a na to jsou uživatelé příliš líní

Hm, ja by som to takto nezobecňoval. Používatelia sú dostatočne nelenivý na to, aby pri každom spusten počítača zadávali svoje heslo a keď treba zadávali rootovské heslo, atď. Pod linuxom je človek na toto proste zvyknutý. A je to ďalší kúsok ochrany výmenou za kúsok pohodlia, čiže nič nové na svete. Takže zmysel ten keyring má, ale je na každom, aby sa rozhodol, či mu to stoji za to. Odpoveď je samozrejme, že to za to nestojí, muhehe

[Tommy]

Je tam "blbec".

[Ondrej 'SanTiago' Zajicek]

Co je spatneho na ukladani hesel v plaintextu?

Porad lepsi nez starsi verze firefoxu, ktera nechtela uzivateli ulozene heslo prozradit a na disku je mela zatemnene pomoci base64

[otula]

Jejda, ten jejich tučňák vypadá, jako by měl na hlavě brnění (Pokud by se z těch mým příspěvků zdálo, že nemám Gaim/Pidgin rád, tak tomu tak není. Dokud jsem používal Gnome, moc rád jsem ho používal)

[Jirka]

Jo, je dobrý. Na windows stanicích instaluji buď "Pidžína" nebo "Gadžíma". Ale na svých linuxáckých stanicích mám KDE a Kopete. Což se mi teda líbí ze všech klientů nejvíce.

[otula]

Také používám Kopete, ačkoliv to není to správné „hardcore“ :)

[azurIt]

podla mna je to holub

[otula]

Hm, asi máš pravdu. Mě po odeslání příspěvku napadlo, že to asi tučňák nebude. Hýří to divnými barvami a tučňák by určitě přilbu nenosil

[kouby]

Tato zpravicka se opozdila o nekolik tydnu ne? Novy web byl hned po prejmenovani Gaimu na Pidgin.

[Kozuch]

tak tak

[freshmouse]

Byla nová doména, ale ne vzhled webu.

[azurIt]

bol novy aj vzhlad takmer od zaciatku vydania 2.0

[freshmouse]

Hmm, to se divím. Byl jsem na jejich webu asi před 14 dny a nový se mi nezdál... Ale to je jedno. Domnívám se, že to pro většinu lidí novinkou je.

[Martin Bodlák]

Ano, pravda. A navíc ten nový web je děsně chybový, semtam chybí stránky, a informací je tam taky hodně málo. Snad se to zlepší...