Gambit trade in enaa.com - varnostni fail?

Enaa.com shranjuje gesla uporabnikov v plain text obliki! In ker za to trgovino stoji priznano in uspešno podjetje me zanima ali se res niso ničesar naučili v letu 2010 in 2011?

Čemu so objavljali novice o vdorih v sony in ostala podjetja ter o tem kako so slabo poskrbeli za varnost, če pa sami shranujejo gesla v plain text!?!

FrEaKmAn, uporabiš funkcijo Pozabljeno geslo in če na mejl dobiš pravo geslo, jih očitno nimajo shranjenih v hash obliki...

Sej Bolha je ista. Sem si takoj dal eno drugo geslo.

Kaj je bolj verjetno za eno lokalno spletno trgovino?

a misliš da bodo napisal da niso?

Daj jih vprasaj za podrobnosti zascite. Drugace slovenske spletne trgovine niso ravno perla. Sploh tiste, ki so plod domacega (ne)znanja.

Jaz ne vidim nobene prednosti pri uporabi enkripcije za shranjevanje gesel v primerjavi z enosmernimi hash funkcijami ... anyone?

Nikoli ne veš kdo je na drugi strani linije (maila) :) In glede nato, da spremljajo forum bodo malo razmislili.

največji problem je pa da ne moreš odstranit računa, pa tudi spremembo gesla nisem našel nikjer.

A če bom jaz zdaj priletel na en forum pa z velikimi napisal SIOL, NLB, SKB.. IMAJO GLESLA V .TXT, brez kakršnekoli utemeljitve in niti D od dokaza, bo folk kar verjel in panično odreagiral?

Furbo je 23. nov 2011 ob 23:12 izjavil:

A če bom jaz zdaj priletel na en forum pa z velikimi napisal SIOL, NLB, SKB.. IMAJO GLESLA V .TXT, brez kakršnekoli utemeljitve in niti D od dokaza, bo folk kar verjel in panično odreagiral?

Siol je imel ne tko hudo dolgo nazaj omejena gesla na maksimalno 8 znakov. Kateri debil gre omejit zgornjo mejo? Omejuje se spodnjo, da si folk ne daje prekratkih gesel lol...

BigWhale je 23. nov 2011 ob 20:00 izjavil:

Geslo, ki je zasciteno z dvosmernim kriptiranjem je priblizno tako, kot ce bi imel na vratih univerzalno kljucavnico. ;>

ker? osebno mislim, da ni dosti razlike. V obeh primerih, če pridejo do baze (ne pa do fajlov, ki kriptirajo/hashirajo), si ne morejo dosti pomagati z gesli.

Če pa pridejo do kode pa je problem pri obeh, pri hashiranih lahko recimo spremenijo hash v bazi in se prijavijo in delajo probleme uporabniku. Pri kriptiranih geslih pa vidijo osnovno geslo in se tako prijavijo v sistem... Pri kriptiranih pa je v tem primeru še dodaten problem, ker ponavadi uporabniki uporabljajo enako geslo še za druge servise... maili in pdobno, in lahko na lahek način pridejo še do kakih drugih podatkov oz.

malo sem posplošil zadevo, da ne dolgovezim preveč.

lp