о паролях

[avva]

Возможно, я что-то не так понял или не то прочитал, но из этой записи и комментов, мне кажется, вытекает следующее:

1) у некоторых людей наблюдаются заходы в их журнал с их паролем от имени сотрудников SUP (с IP-адресов компании SUP). В одном случае это произошло после обращения в сообщество ljplus с просьбой починить счетчик (юзер vedmouse), в другом - без каких-либо обращений в SUP (юзер ksena).

2) утверждается, что пароли для входа сотрудники SUP взяли из базы ljplus.ru, которая им доступна. Вместе с тем, на странице регистрации ljplus.ru написано о пароле ЖЖ: "Мы гарантируем, что никогда и ни при каких условиях не будем разглашать ваш пароль и не воспользуемся им. Мы даже храним его в таком зашифрованном виде, что сами его расшифровать не можем."

Мне кажется, что логичным шагом со стороны SUP было бы объяснить пользователям ЖЖ:

• верно ли то, что у сотрудников SUP есть доступ к паролям множества юзеров ЖЖ через базу ljplus, и если да, почему страница регистрации ljplus говорит о недоступности паролей сотрудникам сервиса;
• верно ли то, что сотрудники SUP несанкционированным образом заходили в аккаунты юзеров ЖЖ;
• если да, то как часто это случалось, что сделано, чтобы больше этого не случилось, и какие конкретно сотрудники SUP были уволены за нарушение privacy юзеров ЖЖ.

Comments

[labas.livejournal.com]

частица "бы" лишняя

[znaeshli.livejournal.com]

"Мы также хотели бы отметить, что эта ситуация экстраординарна. В компан..."
Да.Уже.

[avva.livejournal.com]

Приведенные там в комментаериях объяснения отвечают на второй пункт, но оставляют неотвеченными или не до конца проясненными первый и третий. Хотелось бы получить четкие и внятные ответы на все три пункта.

[labas.livejournal.com]

Я вам завидую: у меня желание получать ответы окончательно пропало после расследования dimrub. Если не раньше.

То есть такое ощущение, что это какой-то бесконечный эксперимент на тему "Сколько управленческих, технических и имиджевых ошибок может сделать одна интернет-компания в течение года?".

И ведь люди-то все хорошие. Наверное, просто рок над ними висит. Я бы на их месте переименовался во "Второе и Компот" и попробовал еще раз. :)

[cema.livejournal.com]

+1.

[seann.livejournal.com]

Что это за расследование было?

[labas.livejournal.com]

http://dimrub.livejournal.com/523587.html

[observarius.livejournal.com]

Браво, хорошо сказано.

[tejblum.livejournal.com]

По поводу первого вопроса -- не вижу противоречия. Кажется, в LJ для аутентификации можно использовать md5 от пароля или что-то подобное. В любом случае, ясно, что было бы бессмысленно хранить пароль в таком виде, что его нельзя было бы использовать -- зачем может быть нужна ненужная вещь... А если он хранится в виде, в котором он может быть использован, то и сотрудник с правами его использовать сможет.

[anatolyl.livejournal.com]

>> А если он хранится в виде, в котором он может быть использован, то и сотрудник с правами его использовать сможет.

если хрaнится хэш - тo нет, нaдo знaть сaм пaрoль

[avnik.livejournal.com]

В жж авторизация работает так:
сервет дает некое X, и в ответ ждет f(x+f(password)) где в данном случа f = md5
то есть хранение md5 от пароля равнозначно хранению самого пароля

[igorbor.livejournal.com]

Неужели все так запущено? Я полагал, что сервер ожидает f(x + password), так что знание md5 ничего не дает, в другой раз она будет другой. Если все так, как Вы говорите - то чем это отличается от передачи пароля в открытом виде?

[boffin.livejournal.com]

тем что Х всё время разное

[kot-ivanovich.livejournal.com]

Вы знаете, я не поверил и полез в код страницы. Ага, всё прямо так и написано: var res = MD5(chal + MD5(pass)); (http://www.livejournal.com/js/??login.js)

У кого-ниубдь есть идея, чем и о чём они думали? MD5 – секюрно, а два MD5 – ещё секюрнее?

[gaius-julius.livejournal.com]

так делается по двум разным причинам:

md5(pass) - потому, что на сервере пароль хранится не в открытом виде, а в виде md5 хэша.

md5(chal + ... - чтобы не передавать даже md5 хэш через несекурную сеть. Т.е. сервер знает chal, знает md5(pass) и может проверить правильность результата.

понятное дело, что для логина совершенно необязательно знать сам пароль, достаточно его md5-хэша.

думается сам пароль знать надо для смены этого самого пароля.

---
альтернативным решением проблемы секретности является перевод всех форм логина на https, что ничуть не лучше схемы с двумя md5.

[kot-ivanovich.livejournal.com]

1. Они хранят пароль в открытом виде всё равно (http://news.livejournal.com/75379.html?thread=10035571#t10035571) (via object).
2. Разрешение использовать MD5(pass) вместо пароля создаёт изрядную security hole – все, кто считает, что MD5(pass) можно особенно не прятать оказываются глубоко не правы... Не то, что бы это имело большое практическое значение, но это вызывающее нарушение правил игры, во всяком случае как я их понимаю

[109.livejournal.com]

спасибо за линк. проблема с таким способом авторизации больше, чем "можно особенно не прятать". тут разница между "аутентифицирующая подсистема может имперсонировать" и "аутентифицирующая подсистема не может имперсонировать".

[kot-ivanovich.livejournal.com]

My point exactly...

[gaius-julius.livejournal.com]

постойте-постойте, а разве кто-то всерьёз считает что md5 можно особенно не прятать??..

[kot-ivanovich.livejournal.com]

Ещё недавно считали, и оригинальная идея была именно в этом. Некоторые и сейчас считают, посмотрите вот этот thread (http://avva.livejournal.com/1795082.html?thread=44200202#t44200202).

[gaius-julius.livejournal.com]

ээээ нет, я не об этом. я именно о том что "неужели кто-то думал что можно не прятать md5 по которому можно авторизоваться". с юниксами там несколько другая история.

[danwinter.livejournal.com]

как он может использовать хэш от пароля?

[tejblum.livejournal.com]

А зачем хранить то, что нельзя использовать? Для коллекции, что ли?

[danwinter.livejournal.com]

я не очень понимаю, о чём речь.
если говорить не о конкретно lj, где как выясняется аутентификация происходит непосредственно по хэшу, а "вообще", то хэш для того обычно и нужен, чтобы использовать его самостоятельно, без введённого пользователем пароля, было невозможно (=очень сложно)
зачем хранятся пароли в /etc/shadow, если их нельзя просто ввести и аутентифицироваться?

[gaius-julius.livejournal.com]

потому что на сервер переаётся именно хэш.