"Однокласники" - не SSL??

[Lor]

Ну, это огромная дыра в безопасности.

И что будет?

Если человек регистрируется на сайтах типа "Одноклассников", то он заранее должен быть уверен, что все его данные типа е-майл однозначно пойдут спамерам в базы. :D

[смешно]

Не ССЛ, но пароль в открытую не шлет. Шлет МД5 от ника+пароль, что безопасно.

Аааа, вот как. МД5 генерируется прямо на странице? Так всё равно и это можно кракнуть, кому надо.

[смешно]

И что будет?

Если человек регистрируется на сайтах типа "Одноклассников", то он заранее должен быть уверен, что все его данные типа е-майл однозначно пойдут спамерам в базы. :D

Здесь не только е-майл, например если ты пользуешься этим же паролем в разных местах (что вполне вероятно), то и, другое место тоже могут вскрыть, а это может быть и банк.

[In2HiDef]

А исправить это нельзя? Или уже поздно?

Можно и тривиально.

[In2HiDef]

И что будет?

Если человек регистрируется на сайтах типа "Одноклассников", то он заранее должен быть уверен, что все его данные типа е-майл однозначно пойдут спамерам в базы. :D

Если сайт уважает прайваси, то есть хорошо известные и простые способы этого не допустить.

[In2HiDef]

Аааа, вот как. МД5 генерируется прямо на странице? Так всё равно и это можно кракнуть, кому надо.

МД5 обсуждается на Википедии, с его проблемами... Не МД5, так есть МД6 или ША1. В общем, [reversing a one-way hash] является криптографически сложной задачей, т.е., пока у вас нет квантового компьютера, вы будете ломать хеш дольше, чем вселенная проживет... В таком духе.

[In2HiDef]

Аааа, вот как. МД5 генерируется прямо на странице? Так всё равно и это можно кракнуть, кому надо.

Решил забрать назад свои слова о безопасности. Да, это кракается (так как сделано), путем [replay attack]. Чтобы усилить защиту, я бы встроил в форму случайное число, участвующее в вычислении хеша, и годное пусть 5 минут, и тогда [replay] должен произойти в течении 5 минут, что проблема для хакера.

[wlass]

Здесь не только е-майл, например если ты пользуешься этим же паролем в разных местах (что вполне вероятно), то и, другое место тоже могут вскрыть, а это может быть и банк.

Здрасссссссте! А разве так делается?????:eek:

[смешно]

Здрасссссссте! А разве так делается?????:eek:

По любому вероятность есть и не маленькая.

[смешно]

Решил забрать назад свои слова о безопасности. Да, это кракается (так как сделано), путем [replay attack]. Чтобы усилить защиту, я бы встроил в форму случайное число, участвующее в вычислении хеша, и годное пусть 5 минут, и тогда [replay] должен произойти в течении 5 минут, что проблема для хакера.

Это уже почти SSL будет, в принципе. А ключ: случайное число.