Fer à souder - гик-брейк [entries|archive|friends|userinfo]
山猫

[ юзеринфо ] [ календарь ] [ @Last.FM ] [ Bookmarks ] [ WishList ] [ Blog Search ]

гик-брейк [22 Июл, 2008|00:50]
Previous Entry в избранное рассказать другу Next Entry

[music |Play The Game - Queen]

По прочтению арстехники и с молчаливого одобрения гикчата я обновил-таки прошивку ойпода до 2.0 (прости, Стив!). Вроде Сафара стала работать круче, да и приложения порадовали (сейчас еще пульт ДУ для iTunes попробую).

Да, кстати, гикчат уже обзавелся своим ололоцитатником (осторожно, юмор и бранные слова Создателя). Двачуйте.

Ну и будьте осторожны. Сегодня на хабре скандал — один пытливый юноша засунул XSS на сайт bestpersons.ru и поимел кучу паролей (в том числе и мой). Администрация сайта повела себя ультрафеерично — прикрыла сайт на 502, пришла в комменты ругаться и угрожать, а потом сайт открылся... а уязвимость осталась на месте.
Нет слов, в общем. Пора заканчивать с практикой регистрации на всяком кафне — если хочется в оном порыться, есть BugMeNot.com. Ну а сайтосоздателям все-таки напоминаю, что хранение паролей в открытом виде — ничем не оправданное уродство. Потом не отмоетесь. Ошибки ошибками, а разум надо иметь. Да, это я вам в том числе, друзья.

UPD Пультик из ойпода чудесный.

UPD2. По интернетам прокатилась волна постов c таинственным кодом 9c951267. Он совпадает с адресом сайта взломщика бестперсон. Сам товарищ отнекивается. Пока даже не знаю, что предположить — хорошо, я вовремя удалился.
permalinkОтветить

Comments:
[User Picture]From: [info]david_m
2008-07-21 08:58 pm none (UTC)

(Link)

Совсем-совсем уродство?:(
[User Picture]From: [info]payalnik
2008-07-21 09:01 pm none (UTC)

(Link)

Возможно, есть оправданные случаи, поделись, могу умерить пыл.
[User Picture]From: [info]david_m
2008-07-21 09:02 pm none (UTC)

(Link)

Да нет, чего уж… просто привык я как-то к сервису «напомнить пароль».
[User Picture]From: [info]payalnik
2008-07-21 09:03 pm none (UTC)

(Link)

Так ведь никто его не отменяет, просто на один шаг больше становится — после клика на ссылке надо ввести новый парольчик. Или же запомнить сгенеренный.
[User Picture]From: [info]david_m
2008-07-21 10:10 pm none (UTC)

(Link)

Интересно, как должна выглядеть идеальная система обращения с паролями? Чтобы пароль в плейнтексте а) не хранился на сервере и б) даже на него не передавался. Что-то мне кажется, что это противоречивые требования.
[User Picture]From: [info]payalnik
2008-07-22 05:40 am none (UTC)

(Link)

Ничего противоречивого, так устроены все системы типа Гугля или линкедина. Пароль хранится на сервере в md5, а аутентификация происходит в SSL-сессии
[User Picture]From: [info]david_m
2008-07-22 09:05 am none (UTC)

(Link)

Так пароль, хоть по ssl, а на сервер попадает. А вот чтобы сервер его вообще никогда не знал…
[User Picture]From: [info]payalnik
2008-07-22 09:07 am none (UTC)

(Link)

Тогда смысла нет ;)
[User Picture]From: [info]david_m
2008-07-22 09:13 am none (UTC)

(Link)

Почему? Вот только сейчас вспомнил, что ЖЖ примерно так и делает — хранит md5(pass), а при авторизации получает challenge + md5(challenge + md5(pass)).

Правда, при этом md5(pass) обладает той же силой, что и просто pass.
[User Picture]From: [info]payalnik
2008-07-22 09:13 am none (UTC)

(Link)

Да, по этой причине оно невыгодно.
[User Picture]From: [info]david_m
2008-07-22 09:27 am none (UTC)

(Link)

Ну, тем не менее, оба требования удовлетворены. Ещё бы придумать, как уйти от простого md5(pass)…
[User Picture]From: [info]chemist789
2008-07-21 09:18 pm none (UTC)

(Link)

Комментарий предствителя bestpersons.ru:

Да, на сайте была XSS уязвимость.
Но ажиотаж вокруг атаки на сайт сильно преувеличен.
Атаке была подвержена совсем небольшая часть аккаунтов и она была быстро пресечена.
Не произошло утечки ни единого пароля на сторонние ресурсы, которые пользователи указывали на bp.
Так как, даже зная пароль пользователя на bp, нельзя получить пароли от его сайтов.

Мы приносим свои извинения пользователям, которых затронул данный инцидент.
[User Picture]From: [info]payalnik
2008-07-21 09:24 pm none (UTC)

(Link)

Спасибо за ответ. Меня лично затронуло, потому я так нервно и отнесся. К сожалению, для многих юзеров пароли часто совпадают (так, можно было сломать мой аккаунт в одной из сетей, имея пароль от bp).

Все-таки нельзя пароли хранить.