Dotaz: Registrace na abclinuxu - dotaz na fix

[petr]

Po x letech jsem se rozhodl zaregistrovat a kdyz mi dorazil e-mail s mym cleartext heslem, rikam si ze neco tady neni vporadku. Neslo by ty hesla mit v DB hashovane jako je tomu standardem u slusnych sluzeb uz x let zpatky? Mam unikatni hesla vsude, ale na abclinux bych cekal tohle jinak. Taky bych cekal ze e-mailova adresa bude overena a ne ze zaregistrujete :posta@mvcr.cz bez jakekoliv verifikace jestli maji skutecne zajem. ;)

---

---

Odpovědi

[Peter Golis]

Toto je zaujímavý bezpečnostný precedens. Tiež by ma zaujímalo či sa s tým niečo stane.

[Max]

Jo, témat ohledně toho, zda jsou hesla v plaintextu škodlivá, či nikoli, těch tu proběhlo.
Máš sortu lidí, kteří ti budou tvrdit, že když ti někdo prolomí server, tak jsou hesla tvůj nejmenší problém.
Pak máš zase názory, že hesla v hashi dají uživatelům čas si je změnit, než je útočník vyštípe.
Pak existuje názor, že i když je hash, tak je to triviální z něj dostat (pokud je slabé heslo), takže ušetřený čas se blíží k nule.
Stejně tak to máš s hesli jako takovými. Spousta lidí tlačí změnu hesla v nějakých intervalech, třeba co tři měsíce, spousta je pro mnohem větší intervaly, další sorta lidí je pro nulové intervaly atd.
Zdar Max

[Peter Golis]

Súhlasím. Ak ti hacknú server, tak únik hesiel užívateľov je tvoj najmenší problém. Únik tých hesiel je totižto problém tvojich užívateľov. Tvoj problém s tým súvisiacim je strata dôvery.

Vzhľadom na to, že vývoj tohoto portálu ustal pred veľa rokmi, tak by som sa nedivil keby tie heslá už boli dávno zaradené do bežných wordlistov. Teda, som o tom presvedčený a neexistuje možnosť presvedčiť ma o opaku. Za tie roky to tu musí byť deravé ako rešeto.

[petr]

Takze v podstate jsme skoncili u toho, ze moje qxvAqrIKn9*i%!$44KND muze byt klidne verejne protoze tady je nehashovane, patrne i volne dostupne pres nejake ty 10 let stare bugy... Pak se zkusme podivat na to pres prichazejici GDPR, ktere e-mail mimo jine povazuje za osobni udaj. Zavre tedy abclinux kram nebo to tady ozije?

[Peter Golis]

Odporúčam ti túto otázku smerovať právnou cestou na vlastníkov tohoto portálu. Správcovia tohoto portálu už roky neexistujú.

[Max]

Co tím myslíš, že neexistují? Admini moderují, zprávičkáři píši zprávičky, servery běží na aktuálním sw, vzkazy správců se vyřizují (visí tam jen ankety a návrhy na zlepšení). Jediné, co roky něběží, je vývoj portálu a upadají články.
Zdar Max

[Peter Golis]

Už som to tu do diskusie písal. Vymazať podnet na riešenie problému ten problém nevyrieši. Ale to je jediné čo sa tu z podnetmi deje.

[Max]

Poslední security patch byl letos. Když někdo objeví chybu, není problém jí nahlásit a opravit. Každopádně feature, případně nějaké interní změny se prostě nedějí/nevyvíjí (není kdo).
Zdar Max

[petr]

Chapu. Dekuji!

[Peter Golis]

Příloha:

• ABC 2017-09-16 12-57-30.png (88567 bytů)

To by som sa rád dozvedel ako sa to dá nahlásiť keď bugzilla tohoto portálu (menu: Portál/Bugzilla) je dlhodobo nedostupná.

Vlani som 2x do bugzilly nahlasoval zaseknutý RSS feed na titulnej stránke. Raz to bolo z bugzilly odstránené, a druhý krát bola odstránená bugzilla kompletne. Aspoň neklam, keď hovoríš o tom ako nie je problém niečo nahlásiť.

[Filip Jirsák]

Nahoře v menu Portál – Vzkazy správcům.

[Peter Golis]

Ďakujem tam som to vtedy skúšal tiež. Doteraz sa s tým nič neurobilo. Naozaj neverím že portál v takomto stave ešte nebol vyhaczkovaný.

[petr_p]

E-mailová adresa je osobní údaj i podle předchozího zákona na ochranu osobních údajů.

[Max]

Abc vzniklo v roce 2001. Jeho vývoj ustanul někdy kolem roku 2010.
Hesla v plaintextu jsou nejmenší problém. Největší je zatím asi používání MyISAM.
Zdar Max

[Heron]

Ano, něco tady není v pořádku. Vy pošlete serveru heslo v otevřeném tvaru při registraci, posíláte mu to heslo v otevřeném tvaru při každém přihlášení. V pořádku není, že předpokládáte, že se k tomu heslu server bude chovat slušně a bude ho bůhvíjak chránit. Tady vidíte, že ten předpoklad je špatný a je na vás, abyste si to heslo chránil – tím, že bude pro tento (a každý jiný) server unikátní.

[Max]

Je to tak, ono upřímně, stačí si dát na svých oblíbených webech obnovu hesla a přistane vám v mailu vaše heslo v plaintextu. Další servery umožňují jen reset, ale kdo ví, jak to mají na pozadí. Abc je otevřené, takže tam je vidět hned, jak funguje.
Správný je předpoklad nikomu nevěřit a používat unikátní hesla.
Zdar Max

[filbar]

A kdo si má třeba pro 50 serverů pamatovat 50 hesel? Mi stačí, že mám tak 5 hesel různé složitých a podle toho jak danou věc potřebuju zabezpečit použiju jedeno z nich. Třeba pro osobní e-mail používám to nejslabší z nich - radegast, stejně jako na tomto portále. Pro firemní e-mail používám samozřejmě heslo o něco silnější. A protože soukromý e-mail nepotřebuju mít zabezpečený, tak mě štve, jak mi centrum každou chvilku posílá mailu, že schránka byla napadena a nutí mě měnit heslo, což stejně vždycky obejdu tím, že nastavím nové v tom jejich nouzovém režimu a potom si ho přepnu zpět na staré a psal jsem jim už několikrát, aby mi toto nepsali a nedělali, že to nepotřebuju, ale ani neodpoví.

[ttt]

Nechtělo se mi věřit, že někdo jen tak napíše heslo ke svému soukromému mailu na fórum. Vyzkoušel jsem to a funguje (centrum.cz, vygooglit to není těžké). Podle názvů složek a počtu e-mailů vypadá používaně, soukromé maily, e-bay. V doručené poště byl link na reset code na facebook, zřejmě by z toho pár dalších přístupů šlo získat. Zvažuju, že ti to heslo změním, aby ti došlo, že podobné chování není rozumné. Dávám ti možnost změnit si ho dřív než se rozhoupu (nebo někdo jiný) k tomu to udělat.

[Max]

A proto se používají aplikace jako KeyPass, kde je jedno heslo, které zamyká db a v ní máš seznam portálů, loginů a hesel.
Funguje to i bez instalace, takže celou db můžeš bez problémů přenášet.
Zdar Max

[Heron]

Nebo pass na příkazové řádce.

[lertimir]

No v linuxu možná spíše KeePassX. Na druhou stranu ve většině případů, ale stací trochu rozmyšlená hierarchiscká struktura hesel. Mám sice hesla v keepass, ale součastně je mám rozkategorizovaná (jedinečná a dlouhá hesla- kombinace slov nemo zkrácených slov - pro služby s kritické a spojené s identitou - banka, pracovní a soukromé maily. obchodní level - e-shopy, veřejná prezentace - facebook, twitter, g+, abclinuxu, kde není a nikdy nebudu mít nic, co nechci aby bylo zcela veřejné. To poslední sice chráním, ale ne nijak moc, jediné co by se mohlo stát po napadení, je že pod mým jménem by někdo něco publikoval (což se dá pak zamozřejmě oznámit, že to bylo díky unesení účtu)

[Filip Jirsák]

K čem je dobrá taková kategorizace hesel? Není jednodušší prostě všude používat dostatečně dlouhá náhodně generovaná hesla? Já mám hesla rozkategorizovaná jenom tak, že ta opravdu důležitá jsou akorát o něco delší – protože někdy přeci jen nastává případ, kdy musím heslo opisovat, takže u těch méně důležitých hesel ušetřím pár znaků. A u těch důležitých hesel používám navíc dvoufaktorovou autentizaci, pokud to jde.

[Filip Jirsák]

A kdo si má třeba pro 50 serverů pamatovat 50 hesel?

Nikdo po vás nechce, abyste si pamatoval 50 hesel. Přesně k tomuhle slouží správce hesel. Jeden takový velmi primitivní máte vestavěný přímo v prohlížeči.

Mi stačí, že mám tak 5 hesel různé složitých a podle toho jak danou věc potřebuju zabezpečit použiju jedeno z nich.

Nevadí vám, že když to nejsilnější heslo používáte třeba na pěti místech, každý z provozovatelů kterékoli z těch pěti služeb se za vás může vydávat u těch čtyřech ostatních? A nejenom on, může to vaše heslo poskytnout dál, ať už nechtěně nebo záměrně.

A protože soukromý e-mail nepotřebuju mít zabezpečený

Tak si tam zrušte všechny možnosti obnovení přístupu při ztrátě hesla a pak si nastavte náhodné heslo, které vzápětí zapomeňte. Když ten e-mail nepotřebujete mít zabezpečený, nemůže vám vadit, kdyby tohle udělal kdokoli jiný – tak to udělejte sám.

A i kdybyste ten e-mail opravdu nepotřeboval zabezpečený, potřebuje Centrum, abyste ho měl zabezpečený. Protože jinak se vám tam přihlásí hackeři a budou odsud rozesílat spam a viry, s čímž bude mít problém Centrum, ne vy.

psal jsem jim už několikrát, aby mi toto nepsali a nedělali, že to nepotřebuju, ale ani neodpoví

To je chyba, že vám neodpoví. Měli by vám poskytnout lhůtu pár dní k nápravě, a když to nedodržíte, smazat vám účet.

[cronin]

Tak mi napadá: je možné svoj účet na abclinuxu celkom odstrániť?

[Max]

Viz : FAQ.
Je to zřejmě dáno návrhem db.
Zdar Max

[Petr]

Maxi, technicky to chapu, pravne to ale vporadku neni. Kdyz se rozhodnu svuj ucet zrusit, jelikoz abclinux naklada s mymi osobnymi udaji (emailova adresa), meli by ste mi vyhovet.

[Max]

Vymazat osobní údaje není problém. Jméno, přezdívku, email, vše si můžeš změnit dle libosti. Ale co nejde, je smazat celý účet včetně všech komentářů a dalších věcí s tím spojených.
Z právního hlediska by to tedy mělo být ok. Prostě zůstane prázdný účet, kde není nic vyplněno, nebo je vyplněno něco generického a hotovo.
Zdar Max

[petr]

Tomu rozumim, dekuji.