Hashování hesel postaveno ve Francii mimo zákon

V rámci přituhování ve shromažďování osobních údajů obyvatelstva je nyní ve Francii postaveno mimo zákon hashování hesel. Poskytovatelé různých webových služeb totiž mají povinnost předat nezahashované heslo, a to nejen policii, ale například i úředníkům z finančních úřadů nebo sociálky.

7.4.2011 15:06 | Luboš Doležel (Doli) | IT novinky

Komentáře

[anonymouse]

Sakra, zase mi de ten kalendář napřed, já myslel, že je dneska 7. dubna a ono je 1. dubna.

[T]

Jak říká Holly: "Zažili jste taškařici století... Užili jste si apríl v dubnu, květnu, červnu, červenci a srpnu."

[Me|Ta|Li|Ca]

Tak to je drsný :O

[BoneFlute]

Nemám zásadní odpor proti omezování svobody, ale tady ve své podstatě jde o spoluůčast na trstném činu - v případě, že mě někdo prolomí účet. Vtipné.

[tdvorak]

Ve francii už přišli o poslední zbytky zdravého rozumu...

[AsciiWolf]

Bohužel, nejen ve Francii.

[sidik]

Francie je země, kde je národním zvykem se vzdávat ve válkách. Teď přibylo i vzdávání se práv.

[Bubak]

fajn, takze dalsi zeme kam nedavat server.

[typek_pb]

tak toto je fakt sranda, podla mna za taky rok dojdu k tomu, ze nemaju inu moznost ako chranit ludi a ich osobne udaje

[Jan Kundrát (jkt)]

Kde je v clanku napsano, ze provozovatel musi uchovavat plaintext hesla? Jedine, co vidim, je "This includes users' full names, postal addresses, telephone numbers and passwords. The data must be handed over to the authorities if demanded.". Vzhledem k tradicnimu novinarskemu zjednodusovani bych byl opatrny s interpretaci; takhle to zavani "senzacni zpravou".

[Luboš Doležel (Doli)]

Zahashované heslo není heslo.

[Jan Kundrát (jkt)]

Cili to v clanku neni uvedeno a jde o senzacechtivy titulek, dekuji.

[l4m4]

Zašifrované heslo není heslo.

(Můžeme to napsat ještě několikrát, než ti to dojde.)

[l4m4]

s/šifr/hash/g

[Jan Kundrát (jkt)]

Dobra tedy. Ja clanek interpretuji jako "pokud poskytovatel sluzby uchovava heslo, je povinnen jej vydat opravnenemu organu", coz je neco zcela jineho, nez "hashovani hesel postaveno mimo zakon".

[Chytrex]

A teď nám ještě řekni jak vydáš heslo které neznáš (je zahashované)

[Luk]

No přece jako v Británii. Nevydáš heslo = půjdeš bručet. Jasné jak facka

[Martin Beránek]

jkt má pravdu. Nechápu co je na tom k nepochopení. Za prvé: není jenom hash a plain text - hesla můžeme třeba šifrovat. Za druhé: začít pro ověřování uživatele používat třeba google login. Pak hesla vůbec neuchovávám a nemusím heslo vydat. Za třetí: můžeme použít kombinaci dvou přístupů. Aplikace standardně ověřuje pomocí hashe, ale v oddělené DB a bez možnosti čtení webovou aplikací máme hesla v plain nebo šifrovaná. Technicky tohle řešit lze, jen se nesmí lpět na starých principech.

[Šangala]

…bez možnosti čtení webovou aplikací máme hesla v plain nebo šifrovaná. Technicky tohle řešit lze, jen se nesmí lpět na starých principech.

Co je na principu ochránění hesla klienta (jeho soukromé záležitosti) starého. Jestli se nepletu tak naopak uchovávání hesla v plaintextu dělali staré aplikace - to je starý princip (PS: postrádá to smysl, jednou hashovat a kdesi ještě plaintextovat - a aplikace nebude mít přístup read, ale writo jo…).
Pokud je někdo pako, a chce nějaký deb...ní zákon/vyhlášku, tak když už, tak má zákonem stanovit povinnost vydání hesla či dat souvisejícíh dané osobě, ale ne že 3. strana si tady bude něco schraňovat a vydávat, když to vlastně ani nechce znát - chrání sama sebe, pak ji někdo osočí (a někdy i právem), že svou DB zneužil a podle svých hesel to zkoušel jinde a jistě uspěje. No a za pár týdnů budou kolovat po netu různé databáze, protožo ne každý to má dobře zabezpečené a ani třeba nepotřebuje, protože rizika jsou nízká, a každá DB bude okamžitě plně použitelná…, hash nelze použít k přihlášení ani k samotné aplikaci, kdežto, že heslo okamžitě a určitě i na spoustě jiných míst (ano asi jen a pouze u 70% populace :) )

[Heron]

Kua, nejdřív bych si měl přečíst celou diskusi a až pak reagovat.

[Heron]

Já to tedy interpretuji stejně. Nikde není explicitně zakázáno hashování hesla, jen je návrh na povinnost toto heslo vydat. Tedy, pro běžný provoz aplikace lze používat hashe s tím, že někde bude uložené heslo v podobě takové, že jej lze na požádání vydat (například v zašifrované podobně, aplikace bude mít pro tento účel sifrovací klíč, dešifrovací bude v trezoru).

Toto neznamená, že ten nápad schvaluji, to v žádném případě. Jen upozorňuji na to, že to technicky lze řešit.

[BoneFlute]

To je ekvivalentní tomu, že je technicky řešitelné ukládat hesla v plain textu. Tedy druhá databáze není technické řešení, ale ústupek. Smyslem hashování hesel je nemožnost získat zpětně heslo. Což tedy vaše řešení nesplňuje.

[Filip Jirsák]

Když heslo neuchovává, tak jej ani nemusí vydat. Pokud by to znamenalo, že jej musí uchovávat, musí ukládat i adresy a telefonní čísla.

[kralyk z abclinuxu]

Wtf?

[Hue]

To jsou frantíci tak neschopný, že nedokážou vytvořit korupcí prolezlou zakázku za miliony eur na generování duhovejch tabulek?

[Jiří J.]

Když ony ty tabulky nemají rády slaná jídla

[Bilbo]

Pokud se solí pořád tou stejnou solí, tak pak ani tohle není problém :)

[Nemo]

Hmm docela by ma zaujimalo co na to povedia napriklad banky a podobne institucie ktore su pomerne dost citlive na bezpecnost.To ako niekde budu ukladat aj plain text hesla ? Hmmm no tak to sa mozeme rovno vyprdnut na sslko riesenie nejakych xss a code injections ked to zoberiem do extremu.Ja sa len divim ze to preslo.

[Ruthion]

Řešení je logické. Hesla ukládat hashovaná. Pokud si je Velký Bratr vyžádá, je třeba heslo změnit a toto nové heslo poslat Velkému Bratrovi a uživateli se zprávou "Z důvodu špiclování Vám bylo heslo změněno na ..."

[EtDirloth]

a posle mu to "logicky" kam? :)

[Ruthion]

Na jeho e-mail?

Je pravda, že v případě provozování webmailu to asi nebude to pravé. Pak už jedině mít 2 funkční hesla. Jedno pro uživatele a druhé generovat pro Velkého Bratra.

[Jindřich Makovička]

Google to díky nedávným inovacím může pořešit pomocí application specific hesel. Prostě se v seznamu objeví jedno navíc pro VB :)

[marvn]

mozna mi to jen uniklo, ale nikde v tom clanku se nepise to, co je ve zpravicce. ctu tam pouze o vladnim planu...nejsou nejake presnejsi informace?

[marvn]

hmm..tak jsem nasel neco vic tady http://www.theregister.co.uk/2011/04/05/google_facebook_france_privacy_row/

ten nadpis zpravicky je, kdyz pouziju slova pana presidenta, dilem alarmistu. kazdpoadne ten dekret je dost ulet, tak jen doufam, ze google a ostatni uspeji...

btw. nevite nekdo, jakou vahu ma ve frencii "dekret"? asi to bude neco jako u nas vladni vyhlaska, ale francouzskou legislativu neznam

[pulpe]

OpenID

[SPM]

Což ovšem u francouzského OpenID providera bude zase na kulové... ale zajímalo by mě, jak chtějí řešit autorizaci certifikátem - to budou muset provideři vlastnit i privátní klíč? :))

[pc2005]

Limité, égalité, fraternité. Na ty ostatní imho taky brzo dojde.

[ms]

V tom článku se nic takového neříká! Text zprávičky je silně zavádějící.

http://yro.slashdot.org/comments.pl?sid=2072470&cid=35743524

http://yro.slashdot.org/comments.pl?sid=2072470&cid=35742134

[kralyk z abclinuxu]

Hm, už to tak vypadá.

Ten zákon je ale stejně dost debilní, jak píše kdosi v tom odkazovném threadu:

However, the law forces to give it out to authorities on demand... As I think that MD5 cracking is not an big issue anymore, services providers willing to bring a hign level of confidentiality to they users should switch to higher security schemes.

Člověk aby dnes neposiloval svoji bezpečnosti jen proti zločincům, ale čím dál víc proti státu/státům...
(Což nejsou nutně disjunktní množiny)

[MeeeTaaaLiiiCaaa]

Hňň, Aha!Linuxu ?

[nyam]

https://github.com/jamespacileo/django-france

Changelist:
Django no longer hashes passwords

[bn1]

+1 vole neblbni! ...teď jsem zašpinil monitor, jak jsem vyprskl

[Jardík]

:)

[Jardík]

Nechápu. Protože pro přístup je pak prakticky heslem daný hash (vložené heslo se zahashuje a porovná se s ním), tudíž za 'skutečné' heslo se dá považovat ten hash a není důvod, aby byl postaven mimo zákon, správce pak akorát předá hash a dotyčnému stárnímu orgánu by mohl umožnit příatup přímo přes hash, který by byl chráněn nějakým jiným heslem, které dostane stát (a které samozřejmě unikne ven :))

[pc2005]

No řekl bych, že tohle je důkaz, že i hashovaný hesla budou kompromitovány.