о паролях

[avva]

Возможно, я что-то не так понял или не то прочитал, но из этой записи и комментов, мне кажется, вытекает следующее:

1) у некоторых людей наблюдаются заходы в их журнал с их паролем от имени сотрудников SUP (с IP-адресов компании SUP). В одном случае это произошло после обращения в сообщество ljplus с просьбой починить счетчик (юзер vedmouse), в другом - без каких-либо обращений в SUP (юзер ksena).

2) утверждается, что пароли для входа сотрудники SUP взяли из базы ljplus.ru, которая им доступна. Вместе с тем, на странице регистрации ljplus.ru написано о пароле ЖЖ: "Мы гарантируем, что никогда и ни при каких условиях не будем разглашать ваш пароль и не воспользуемся им. Мы даже храним его в таком зашифрованном виде, что сами его расшифровать не можем."

Мне кажется, что логичным шагом со стороны SUP было бы объяснить пользователям ЖЖ:

• верно ли то, что у сотрудников SUP есть доступ к паролям множества юзеров ЖЖ через базу ljplus, и если да, почему страница регистрации ljplus говорит о недоступности паролей сотрудникам сервиса;
• верно ли то, что сотрудники SUP несанкционированным образом заходили в аккаунты юзеров ЖЖ;
• если да, то как часто это случалось, что сделано, чтобы больше этого не случилось, и какие конкретно сотрудники SUP были уволены за нарушение privacy юзеров ЖЖ.

Comments

[vercors.livejournal.com]

я до сих пор не доверяю стороним сайтам посредникам,
правильно делал .

[screamager.deadjournal.com (from livejournal.com)]

Бугога.

Извините, Анатолий. Не удержался ;)

[tacente.livejournal.com]

"С их IP-адресов" - двусмысленно; имеется в виду - с адресов пострадавших юзеров или (что логичнее) сотрудников SUP'а?

[avva.livejournal.com]

сотрудников SUPа. Сейчас исправлю, чтобы устранить двусмысленность.

[kotbegemot.livejournal.com]

Да.
Если в течение недели ничего не расскажут -- отпишусь нахрен и от СУПа, и от LJPlus.
Ибо нефиг.

[seann.livejournal.com]

Можно проверить то, отписали ли вас от супа. Но удаление пароля из базы лжеплюса проверить нельзя. Верить им на слово? Ну не смешно ни секунды.

[-pk-sly.livejournal.com]

интересно, как это было определено.

на сколько я понимаю, единственный достоверный способ - посмотреть логи web-сервера.

всё остальное - от лукавого

[-pk-sly.livejournal.com]

прошу прощения
http://www.livejournal.com/manage/logins.bml

[znaeshli.livejournal.com]

Думаю, ответы Супа были бы однообразны :
"Да такое было, но это был уникальный случай и больше такого не повторится".

[labas.livejournal.com]

частица "бы" лишняя

казалось бы,

[a-shen.livejournal.com]

такое действие со стороны SUP следует ожидать в двух случаях:

1) если они сами с уважением относятся к своим пользователям и к своему собственному слову;

или

2) если они понимают, в чем состояло бы ожидаемое в случае 1 поведение и стараются его имитировать.

Но вроде бы выступления d.....bа при славном начале их работы противоречат обоим предположениям

Re: казалось бы,

[avva.livejournal.com]

1) В SUP работает несколько людей, которых я весьма уважаю, и много других людей, о которых у меня нет оснований думать плохое.
2) В целом при отсутствии других свидетельств я склонен доверять их словам и считать, что они делают именно то, о чем говорят.
3) Начало работы SUP и связанные с этим скандалы я до сих пор считал примером скорее катастрофического пиар-провала, чем какими-то особыми злостными намерениями SUP.

До сих пор я никак не был связан с компанией SUP и никак не комментировал действия этой компании.

Но несанкционированный заход в чужие журналы - обвинение очень серьезное, почти самое серьезное, какое может быть в ЖЖ.

Поэтому я очень надеюсь получить ответы от SUPа на перечисленные выше вопросы.

[znaeshli.livejournal.com]

Поддамся легкой параное
Ну хорошо.
СУП заходил в чей-то ЖЖ несанкционированно.
Для меня не совсем очевидно : зачем?
Неужели что-бы что-то починить? Если да, то только ли для этого?
Автор записи (http://community.livejournal.com/sup_ru/227213.html) в коммунити суп_ру (http://community.livejournal.com/sup_ru/) утверждает что ничего исправлено не было...
Неужели СУП действительно будет свободно ходить по нашим журналам?

[lykac.livejournal.com]

Я, как человек не любящий скандалы, созданные чужими руками, не склонен впадать в отчаянье из-за того, что сотрудники яндекса знают, какое порно я искал через их поисковик.

[signamax.livejournal.com]

а когда же по этому вопросу выступит начальник транспортного цеха
извините
офицер службы блогов

[larisaka.livejournal.com]

Еще где-то проскальзывала мысль о том, что многие дают одинаковый пароль к ЛЖ и ЛЖ-плюс. Исходя из такой логики: логин одинаковый - и пароль одинаковый. В такой ситуации формально пользуясь только ЛЖ-плюсовым паролем можно ходить в ЛЖ.

[avva.livejournal.com]

Да, я это специально не упоминал, но, конечно, очевидно, что многие используют один и тот же пароль в ЖЖ и ЛЖ-плюс. Люди вообще очень часто используют один пароль для всего.

[nine_k]

Помимо всего: лишний повод сменит пароль.

[avva.livejournal.com]

Я ни разу не давал свой пароль ljplus.ru или любому другому сервису, и всегда всем советовал так же поступать.

[santagloria.livejournal.com]

про уволены -- смешно.

[avva.livejournal.com]

Ну - не очень: несанкционированный доступ к чужим журналам несоменно должен вести к увольнению сотрудника, так поступившего.

[dmih.livejournal.com]

Я не знаю, насколько удачно в ЖЖ сделана авторизация, но чисто технически ljplus мог хранить хеши паролей. Расшифровке они условно не поддаются (в случае хотя бы умеренно-сложных паролей и удачного хеша, но в принципе да, можно заявить "не можем расшифровать"), но если в ЖЖ авторизация использует ущербную процедуру сверки напрямую этого же хеша, то пользоваться ими для целей авторизации ЖЖ всё же можно.

[(Anonymous)]

;-) Мы написали одновременно (см. следующий комментарий ;-)

TOPMO3

[(Anonymous)]

Я сейчас играюсь с гейтами Mailing list --> ЖЖ (с помощью модифицированного скрипта mail2lj.pl - http://mail2lj.nichego.net/). Там есть режим аутентикации не по самому паролю, а по MD5-хэшу. Из браузера по хэшу зайти нельзя, но из клиентов-то можно (во всяком случае, сделать специального клиента с такой функциональностью - не проблема - что подтверждает скрипт mail2lj.pl ;-). Если в базе СУПа как раз хранятся эти хэши ("храним его в таком зашифрованном виде, что сами его расшифровать не можем"), то всё складывается очень гладко...

TOPMO3

[http://users.livejournal.com/_turkmenistan/]

сие деяние , в сравнении с обявлением арктики российской и заочного ареста березовского басманным судом, не заслуживает ровным счетом никакого внимания; так мир у них устроен. "И мне плевать, что по этому поводу говорят какие-то там зарубежные деятели..."

[ex-ex-darth.livejournal.com]

Хе, а я с ЖЖшки ушел.
И смотрю на все это веселье со стороны.

[dmih.livejournal.com]

Но пост этот как-то написать смогли? :)

[t0pb0t3o.livejournal.com]

Вы попали в top30 на яндексе самых обсуждаемых тем в блогосфере. Поэтому копия вашего поста доступна в ленте по ссылке (http://topbot2.livejournal.com/2171773.html)
Почитать текст со всеми комментариями можно тут (http://deep-water.ru/?http://avva.livejournal.com/1795082.html)
Это Ваш 12-й ТОПовый пост за последний год (http://deep-water.ru/top/). Посмотреть статистику автора можно тут (http://deep-water.ru/top/info.php?id=357).
Этот "бот не имеет отношения к Яндексу" © НадежныйИсточник

[antropovalexey.livejournal.com]

[megilla.livejournal.com]

в оригинале было из 15
..7 крошёные
остальные так брошёные
=)

[vashik.livejournal.com]

Вспоминается анекдот:Сколько человек работают в вашей компании?
Процентов 20...

[moon-aka-sun.livejournal.com]

Интересно. Я всегда думал, что раз я пользуюсь чьим-то сервисом, то владельцы сервиса вполне имееют доступ ко всему, что я храню на сервисе, будь то хоть ЖЖ, хоть Гугл. А т.к. теперь ЖЖ владеют совместно 6-врозь и суп, то они вполне имеют доступ к моему жж. Менять записи, конечно, глубоко неэтично, а читать - на здоровье.

[ex-metusbek.livejournal.com]

+1

Ещё:

[fukanchik.livejournal.com]

http://community.livejournal.com/sup_ru/227213.html?view=5673101#t5673101

[taichi-777.livejournal.com]

А я вот не в лж плюсе, но начитавшись тут, иду в к себе в юзер инфо и вижу в МОИХ френдах какую то суко , которое зафренжено мной точно не было, френдов у меня мало, все на пересчет. Суко расфренджено, но вот сижу и думаю, что бы это значило. ((((((

[xekc.livejournal.com]

кто-то из ваших френдов мог сменить юзернейм.

[katja-i.livejournal.com]

У меня дурацкий может быть вопрос, наверное даже два дурацких вопроса.

Если ответы "да", то чем это вообще грозит СУПу?

Вы понимаете тот момент, что "кто имеет доступ к базе, тот и может"? Если понимаете, отсюда второй вопрос, если тот, кто может смотрит аккуратно то все ок, нет проблем? А тот, кто смотрит неаккуратно - тот вроде как какашка?

[http://users.livejournal.com/_rowan_tree_/]

Наивный вопрос: а может ли у них быть что-то вроде su? Т.е. не зная пароля, человек с root access может временно стать юзером X?

[lazyreader.livejournal.com]

Я наивно предполагаю, что su у них быть может, и может даже быть такая политика, что они могут этим su пользоваться, но особенность ситуации в том, что никто не пользовался никаким su, даже если он был.

Просто админ ничтоже сумняшеся ввёл логин и пароль пользователя и вошёл в его, этого пользователя, журнал.

[ex-ex-annut.livejournal.com]

Вся эта история с СУПом представляется каким-то абсурдом
Оскорбления пользователей офицером по блогам компании, обманы с опт-аут, вся эта толпа жж-стов привлеченных Носиком на синекуры СУП, занимающихся пропагандой ничего неделанья (фотографии вечеринок) и прожигания денег Мамута на своим маленьких синекурках в Смоленском пассаже, отсутствие каких-либо результатов несмотря на уже почти год работы, теперь воровство паролей.
Не может одна компания из нескольких сделать столько неправильного в столь короткий срок
Какой-то абсурд

[ex-ex-annut.livejournal.com]

а да еще "скрытая реклама в блогах" МкДональдс