Palatynat Leocji

Karolina von Lichtenstein pisze: ↑

23 sty 2022, 13:32

plaintekstem?

Dlaczego ja od rana muszę się wkurwiać?

Aleksander pisze: ↑

23 sty 2022, 14:01

Karolina von Lichtenstein pisze: ↑

23 sty 2022, 13:32

plaintekstem?

Dlaczego ja od rana muszę się wkurwiać?

Taki lajf koronowanej głowy. Ktoś angry jest, by chill był ktoś, sus nic tu się nie dzieje.

Uważam, że za używanie anglicyzmów klawiatura powinna jebać prądem.

Aleksander pisze: ↑

23 sty 2022, 14:15

Uważam, że za używanie anglicyzmów klawiatura powinna jebać prądem.

Zbyt duży hazard…

Bycie porażonym od czasu do czasu to niewielka cena do zapłacenia za korektę postawy jednej z naszych poprzedniczek na ekorzyńskim stolcu.

Czyli tu nie chodzi o brak szyfrowania, a o brak hashowania haseł?

Na tyle, na ile zrozumiałam Garamonda: hasła albo się przechowuje w formie niezmienionej (plain text), albo szyfruje (hashowanie). Twórca systemu zatem przechowywał hasła bez żadnych zmian w ich formie, które miałyby zapewnić ich bezpieczeństwo, a zarazem dwukrotnie zapewnił, że się je szyfruje. Oczywiście, mogę się mylić.

Z tego co rozumiem, szyfrowanie jest, ale dopiero przy przesyłaniu formularza. Pytanie czy jest hashowanie.

Odniosę tutaj do takich dwóch miejsc:

https://discord.com/channels/7289074979 ... 7183860816
rozmowa z Federico

http://www.rzeczpospolitaobojganarodow. ... 445#p63445

Tę drugą należy traktować raczej jako próbę poprawnego przeze mnie opisu stanu rzeczy, ale mogę się w tym mylić.

Dziękuję za wyjaśnienie tematu!

Proszę bardzo, choć przyznam, że sam jeszcze nie mam pewności, jak to jest.

Przykład A - forum phpBB
Rejestrujemy się, podajemy hasło, z niego powstaje hash i tak jest zapisany w bazie danych. Kiedy się logujemy z podanego w formularzu hasła tworzony jest hash i porównywany z tym, co jest w bazie danych. Każde forum ma unikalną sól dodawaną do hasha. Nawet jeśli administrator sprawdzi w bazie danych hasła - widzi tylko hashe, więc nie może ich użyć gdzie indziej. Przy wycieku danych stanowi to też dodatkową barierę.

Przykład B - Rogatek
Rejestrujemy się, podajemy hasło, zostaje ono zaszyfrowane i zapisane do bazy. Mechanizm logowania może działać dwojako, zakładamy, że bezpieczniej - porównywane są zaszyfrowane hasła, analogicznie do przykładu A. Wchodząc do edycji profilu mamy tam hasło odszyfrowane w kodzie strony zapisane czystym tekstem. Może to odczytać dowolny skrypt JavaScript, ale nie o tym. Brak SSL też można przemilczeć. Jednakże, jeśli hasło jest szyfrowane i znany jest mechanizm tego szyfrowania, znaczy to tyle, że z perspektywy administratora są to hasła dostępne tak samo, jak gdyby były zapisane otwartym tekstem. Przy wycieku danych stanowi to pewną barierę, ale barierę do złamania, bo jak pisałem wcześniej - szyfrowanie jest procesem odwracalnym.