по следам

[avva]

Некоторые последствия истории с эпидемией ЖЖ-спама и кражи аккаунтов:

• Avva предупреждает на плакате zhgun'а
  
• А statisticai видит забавный сон обо мне
  
• tom_ohawk объясняет принципы безопасности паролей. Всё равно никакие объяснения не помогут, увы, и пользователи будут продолжать выбирать пароли, которые ничего не стоит отгадать или подобрать.
  
• Я написал руководство по секьюрити ЖЖ.
  
• В код LiveJournal была добавлена возможность для администратора быстро перекрыть распостранение любой HTML-формы.

Comments

[avva.livejournal.com]

Отрицательно.

У LiveJournal нет вообще никаких "уполномоченных сайтов" кроме самого
LiveJournal.

[sova.livejournal.com]

Я понимаю, что у вас там головной боли хватает, но может быть стоит сделать authentication service?

Например так: пользователь нежимает кнопку где-нибудь на livejournal.com и генерит некий код (MD5 hash of his login and the hashed password, or whatever). После этого этим кодом он может пользоваться как паролем на любом другом сайте. Другой сайт посылает ЖЖ логин и код, и получает ответ да/нет. Ничего другого с этим кодом сделать нельзя.

[avva.livejournal.com]

Если это грамотно делать, то нужно так, что каждый сервис мог
использовать свой отдельный вид такого кода, чтобы нельзя было одним
кодом для всех внешних сервисов воспользоваться.

В принципе эта идея давно в воздухе витает, но руки не дошли пока, и
никто извне не взялся сделать.