Доступ по паролю

Большое заблуждение, считать, что http://user:password@example.org/ и http://example.org/user/password/ сильно различаются. Ничего подобного. Единственное различие между ними, что если набрать второй адрес руками, то он останется в истории браузера. Для AJAX'а более пригоден второй путь — «logout» делать сильно проще.

Необходимое замечание: речь, конечно же, идёт о basic-авторизации. Digest мало кто пробует (а три года назад оно сильно ещё глючило, наверное, сейчас получше должно быть), NTLM по-чёрному глючит в «Опере» (в чём я убедился, работая в «Яндексе»).

Итак http://example.org/jfdhfjhrtjktjkfhdjht/ это вполне себе парольный доступ.

13 апреля 2009 15:08

webdev

LXj (lxj.endofinternet.net)
13 апреля 2009, 19:01

А если пользователь зайдёт на http://user:password@example.org/ и ткнёт там на ссылку http://evil-site.cn, увидит ли вебмастер evil-master.cn пароль этого пользователя в своих логах?

bolk (bolknote.ru)
13 апреля 2009, 19:23, ответ предназначен roman (alax.myopenid.com):

Prooflink?
Я знаю, что Microsoft довольно коряво залатала хак с подменой адреса, отключив такую возможность.

В любом случае, речь не об этом. А о том, что закрытый URL — тоже пароль.

roman (alax.myopenid.com)
13 апреля 2009, 19:32, ответ предназначен bolk (bolknote.ru):

Prooflink - RFC 3986, 3.2.1. User Information

Use of the format "user:password" in the userinfo field is
   deprecated. Applications should not render as clear text any data
   after the first colon (":") character found within a userinfo
   subcomponent unless the data after the colon is the empty string
   (indicating no password).

И для быстрой проверки - http://demo:demo@vivotek.taxispb.ru:8081/ FireFox открывает, выдавая message box подтверждения. IE обламывается не посылая даже исходящего запроса.

arty (arty.name)
14 апреля 2009, 18:55, ответ предназначен david-m.livejournal.com:

ну так есть реальная проблема, что у юзеров один пароль на все случаи жизни

и, случись взлом, никто не скажет «мальчик сам виноват», всех собак свалят на сервис с открытыми паролями в базе

хотя, по-честному, давно уже есть справочники md5 от распространённых паролей — как раз тех самых, что на все случаи жизни, поэтому реальной защиты хэширование не даёт

но чем тогда digest лучше простого https? защитой от MitM?

bolk (bolknote.ru)
14 апреля 2009, 21:23, ответ предназначен arty (arty.name):

Защита от SQL-инъекций, например, элементарная: шифровать семитричным ключём, например. Благо, в MySQL есть средства (http://dev.mysql.com/doc/refma~~n/5.1/en/encryption~~-functions.html).

А нормальная защита — спрятать всю работу с паролем (запись и проверку, запретив чтение) за хранимые процедуры.

arty (arty.name)
15 апреля 2009, 17:57, ответ предназначен bolk (bolknote.ru):

хех, инъекции я даже не рассматривал % )

для меня слив базы означает шелл-доступ к серверу, со всеми вытекающими: полный дамп таблиц и копия ключа шифрования

вообще, если задуматься, от такого помогает только необратимое хэширование. Но даже для него можно составить частотный словарь, используя список распространённых паролей. Выживут только нераспространённые, которые суть Неуловимые Джо. Или они кому-то нужны?

arty (arty.name)
15 апреля 2009, 22:16, ответ предназначен bolk (bolknote.ru):

тоже верно
вообще интересно было бы иметь статистику, по каким причинам пароли утекали. Инъекции — это как-то совсем по-детски

arty (arty.name)
17 апреля 2009, 12:23, ответ предназначен bolk (bolknote.ru):

уф, я уж вначале подумал, что в самом фейсбуке эта дырка : )

вообще у меня, видимо, сложилось ложное впечатление об этой проблеме с тех пор, как интернет перестал полниться статьями на эту тему

детям нельзя в интернет, он от них тупеет

Ваше имя или адрес блога (можно OpenID):

Текст вашего комментария, не HTML:

Кому бы вы хотели ответить (или кликните на его аватару)

Подсказка по написанию комментария

В комментариях можно применять следующую специальную разметку:

слово, обрамлённое в «звёздочки» выделяется *жирным*
ссылка становится ссылкой: http://bolknote.ru
ссылка в скобках также становится ссылкой, закрывающая скобка не захватывается: (http://bolknote.ru)
каждую строку цитаты следует начинать со знака «больше»:
> это цитата
> из двух строк
можно вставить картинку, залитую на один из сервисов: «Яндекс.Фотки», «Фликр» или «Пикплз». Для этого нужно вставить на страницу полный адрес вашей картинки на сервисе, он превратится в картинку:

http://fotki.yandex.ru/users/bolknote/view/274311?page=3