Názory k článku Postřehy z bezpečnosti: ve světle hodných červů

...používá tento tooltip k password políčku?

Nebo jde jen o skutečný vtípek?

asi nikdo, nicméně je to jen o trochu více nebezpečnější než když někdo ukradne databázi s hesly. V takovém případě se taky velmi jednoduše dozvíte kdo používá heslo "hunter". Podstatnější je, že se nijak jednoduše nedozvíte jaké heslo má uživatel rowealdo37189.

Security #101 - NIKDY, NIKDE neukládejte, neposílejte, neporovnávejte ani jinak nepracujte s "čistým" heslem (plain text) - v ideálním případě nepoužijete ani přihlašovací jméno, pouze hash z hesla, přihlašovacího jména a nějaké soli. (pak by to samozřejmě ani nemohlo být detekovatelné, že někdo jiný používá stejné heslo)

Pevně doufám, že to je jen vtip, ale pokaždé když vidím "byla ukradena hesla, která byla v DB uložena neHASHovaně", tak mě poleje studený pot.

Tv. to mě nikdy nenapadlo udělat hash i z username :D

Tak standardní to není, ale server se trochu zjednoduší a furt je bezpečnější 1x SHA2, než předávat heslo a use name.

Jediný průšvih je zapomenutý heslo, to pak je na novou registraci, pokud se uživatel nedá identifikovat jinak.

Jo, proc nepridat moznost kolize, ktera z nenadani vyskoci a bez redesignu tohoto uzasneho zpusobu overovani s ni nepujde deat nic jineho nez "no to si jeden z Vas bude muset zmenit heslo [a vsichni budeme doufat ze to nezacne kolidovat s nejakym jinym username+heslo+sul hashem]".

Tak neviem ale nasla sa kolizia md5, sha1 ale ako bezpecne sa povazuhu sha256 sha512, takze podla mna ak sa nebudu pouzivat prve dve hashovacia algoritmi, tak ta kolizia tak skoro nenastane. A ako pisal ebik: Zatím se jen dá pečlivou přípravou vyrobit dva podobné dokumenty se stejným hashem a i to není vůbec žádná prdel.