Přímý přenos (YouTube) z konference LinuxDays 2025, jež probíhá tento víkend v Praze v prostorách FIT ČVUT. Na programu je spousta zajímavých přednášek.
V únoru loňského roku Úřad pro ochranu osobních údajů pravomocně uložil společnosti Avast Software pokutu 351 mil. Kč za porušení GDPR. Městský soud v Praze tuto pokutu na úterním jednání zrušil. Potvrdil ale, že společnost Avast porušila zákon, když skrze svůj zdarma dostupný antivirový program sledovala, které weby jeho uživatelé navštěvují, a tyto informace předávala dceřiné společnosti Jumpshot. Úřad pro ochranu osobních údajů
… více »Google Chrome 141 byl prohlášen za stabilní. Nejnovější stabilní verze 141.0.7390.54 přináší řadu novinek z hlediska uživatelů i vývojářů. Podrobný přehled v poznámkách k vydání. Opraveno bylo 21 bezpečnostních chyb. Za nejvážnější z nich (Heap buffer overflow in WebGPU) bylo vyplaceno 25 000 dolarů. Vylepšeny byly také nástroje pro vývojáře.
eDoklady mají kvůli vysoké zátěži technické potíže. Ministerstvo vnitra doporučuje vzít si sebou klasický občanský průkaz nebo pas.
Novým prezidentem Free Software Foundation (FSF) se stal Ian Kelling.
Na čem pracují vývojáři webového prohlížeče Ladybird (GitHub)? Byl publikován přehled vývoje za září (YouTube).
Vyšla kniha Počítačové programy a autorské právo. Podle internetových stránek nakladatelství je v knize "Významný prostor věnován otevřenému a svobodnému softwaru, jeho licencím, důsledkům jejich porušení a rizikům „nakažení“ proprietárního kódu režimem open source."
Red Hat řeší bezpečnostní incident, při kterém došlo k neoprávněnému přístupu do GitLab instance používané svým konzultačním týmem.
Immich byl vydán v první stabilní verzi 2.0.0 (YouTube). Jedná se o alternativu k výchozím aplikacím od Googlu a Applu pro správu fotografií a videí umožňující vlastní hosting serveru Immich. K vyzkoušení je demo. Immich je součástí balíčků open source aplikací FUTO. Zdrojové kódy jsou k dispozici na GitHubu pod licencí AGPL-3.0.
Český telekomunikační úřad vydal zprávy o vývoji cen a trhu elektronických komunikací se zaměřením na rok 2024. Jaká jsou hlavní zjištění? V roce 2024 bylo v ČR v rámci služeb přístupu k internetu v pevném místě přeneseno v průměru téměř 366 GB dat na jednu aktivní přípojku měsíčně – celkově jich tak uživateli bylo přeneseno přes 18 EB (Exabyte). Nejvyužívanějším způsobem přístupu k internetu v pevném místě zůstal v roce 2024 bezdrátový
… více »Nově objevená zranitelnost v populárním webovém frameworku Django poukazuje na to, že používání příliš dlouhých hesel nemusí být vždy tou nejlepší volbou. Jak vysvětluje webový vývojář James Bennett, Django používá pro hashování hesel algoritmus PBKDF2, který sice velice znesnadňuje uhádnutí hesla brute-force technikou, ale může také způsobit DoS. Při použití tohoto algoritmu totiž zabere porovnání hesla o velikosti 1 megabyte s hashem přibližně minutu, a tudíž je jasné, co opakované zasílání takovéhoto řetězce může způsobit. Všem uživatelům používajícím framework Django je doporučeno upgradovat na nejnovější verze.
Tiskni
Sdílej:
Problém je v tom, že veľkosť, ktorú užívateľ zadá nebola limitovaná čo mohlo viesť k DOS útokom. Použitie hesla o veľkosti rádovo MB samozrejme nemá praktický význam.
A není problém spíš v tom, „proč mít“, ale „někdo pošle“ a poku to ne-před-ošetřím na straně serveru, tak počítám hash z MB hesla a až pak zjistím, že nesedí.
A ruku na srdce, kdo kontroluje délku zaslaného hesla před tím, než počítá hash…
# truncate only very long passwords if len(password) > 65535: truncate() N = 1 + len(password) // 256 number_of_PBKDF2_rounds //= N
truncate()
za return false;
- je zbytečné se tím vůbec zabývat a něco počítat(, samozřejmě při zakládání hesla ošetřit maximální povolenou délku.).rozumná délka
ten problém řeší.
return false
by asi bylo lepsi nez to tise zkratit.
S tou delkou 4096 bych byl opatrnej. Urcite by se potom nasli paranoici co maji v password manazeru nastavenou defaultni delku 5000 a pro tuhle stranku by to museli zbytecne menit... Problém je spíš ve špatně zvoleném hashovacím algoritmu.s/špatně/dobře/ Jak bylo uvedeno výše, pomalé hashovací schéma je z hlediska bezpečnosti výhodou.
Shledavam ho vecne spravnym a nepripada mi nijak zavrzenihodny.Titulek zjevně nabádá ke špatné interpretaci, tudíž to s tou věcnou správností je dosti nahnuté.
Clovek spravne zbystri a uvnitr se dozvi vic.Donutit člověka zbystřit za každou cenu pletením biče z hovna je snad nejtypičtější bulvární technikou vůbec.
Je ten titulek opravdu tak hříšný, že se tu musí řešit víc než věcné aspekty?Pokud by ten titulek byl v pořádku, tak bych od začátku věděl, že se jedná o bezpečnostní chybu v Django, což se mě momentálně provozně nijak netýká a tudíž by mě to nezaujalo dost, abych zprávičku a její diskuzi vůbec otevřel. Jestliže je titulek (úmyslně?) napsaný tak, aby přilákal více čtenářů než pro které je zprávička určena a jestliže navíc první věta zprávičky, mimochodem o 22 slovech, je v kontextu faktů, ze kterých zprávička vychází zcela nesmyslná...
Nově objevená zranitelnost v populárním webovém frameworku Django poukazuje na to, že používání příliš dlouhých hesel nemusí být vždy tou nejlepší volbou.(Opravdu si nemyslím, že lze z DoS v jednom software vyvodit, že by měli lidé používat krátká hesla.) Pak se nestydím vyjádřit, že mě tím autor zprávičky obtěžuje, ať je to kdokoliv. Mám Abclinuxu rád, rád sem chodím a mám rád (aspoň trochu) kvalitní zprávičky. Tahle mezi ně zjevně nepatří. Nebráním tím věcné diskuzi, pokud toto vlákno někomu překáží, může si ho sbalit.
poukazuje na to, že používání příliš dlouhých hesel nemusí být vždy tou nejlepší volbou.