Posílání hesla nešifrovaným spojením

[noname]

Dotaz laika: Zaujalo mě téma diskuse, tak jsem se trošku začetl. Zajímalo by mě ale, co je to konkrétně ten SCRAM. (Předpokládám, že není myšleno tohle - http://cs.wikipedia.org/wiki/SCRAM  ) Můžete mi to tady někdo trošku vysvětlit? Odkaz bohatě postačí. Díky.

[Reklama]

[Jenda]

https://www.abclinuxu.cz/clanky/plaintextova-hesla-uzivatele-a-scram

[noname]

Díky za rychlou odpověď v tuhle noční hodinu.

[Mirek Prýmek]

Protože tam nefunguje UTF-8. Protože to GUI je otřesné. Protože prohlížeče neimplementují per-server odhlášení. Protože odhlášení je alespoň ve Firefoxu na mašli. Protože pro registraci stejně musíš použít custom formulář.

Ale zas to má tu výhodu, že kontroluje přístup ke kompletně celému webu, takže se nemůže stát, že někde v kódu aplikace je nějaká chyba, kvůli které se dá na nějakou stránku nebo s nějakým zvláštním požadavkem dostat někam, kam by se člověk dostat neměl. Chyba v autentizačním kódu v prohlížeči mi přijde jako daleko míň pravděpodobná než různé chyby v různých aplikacích napsaných kdovíkým.

Pokud jde o nějaký interní web, kde se dá nehezký přihlašovací dialog zkousnout, tak je to imho dobrá cesta.

[Mirek Prýmek]

Chyba v autentizačním kódu v prohlížeči

Resp. ve webserveru, žejo

[Reklama]

[Jenda]

Protože tam nefunguje UTF-8. Protože to GUI je otřesné. Protože prohlížeče neimplementují per-server odhlášení. Protože odhlášení je alespoň ve Firefoxu na mašli. Protože pro registraci stejně musíš použít custom formulář.

Ale zas to má tu výhodu, že kontroluje přístup ke kompletně celému webu…

Já vím jaké to má výhody (a četl jsem několik CVEček zejména embedded zařízení, které právě způsobilo nekontrolování cookies na nějaké podmnožině URL). Ale bohužel také vím, kam mě uživatel/zákazník poslal, když jsem mu dodal aplikaci, která to používala.

(a taky si můžeš tipnout, kam tě uživatelé pošlou, když jim zařídíš autentizaci klientským certifikátem…)

[Mirek Prýmek]

Ale bohužel také vím, kam mě uživatel/zákazník poslal, když jsem mu dodal aplikaci, která to používala.

Jasně, no, vypadá to předpotopně, proto jsem psal pro interní použití. Zákazníkovi bych to nedal.

[Sten]

Protože tam nefunguje UTF-8. Protože to GUI je otřesné. Protože prohlížeče neimplementují per-server odhlášení. Protože odhlášení je alespoň ve Firefoxu na mašli. Protože pro registraci stejně musíš použít custom formulář.

Ale zas to má tu výhodu, že kontroluje přístup ke kompletně celému webu, takže se nemůže stát, že někde v kódu aplikace je nějaká chyba, kvůli které se dá na nějakou stránku nebo s nějakým zvláštním požadavkem dostat někam, kam by se člověk dostat neměl. Chyba v autentizačním kódu v prohlížeči mi přijde jako daleko míň pravděpodobná než různé chyby v různých aplikacích napsaných kdovíkým.

Pokud jde o nějaký interní web, kde se dá nehezký přihlašovací dialog zkousnout, tak je to imho dobrá cesta.

Tahle výhoda má i některé nevýhody

[Lemming]

Ale zas to má tu výhodu, že kontroluje přístup ke kompletně celému webu, takže se nemůže stát, že někde v kódu aplikace je nějaká chyba, kvůli které se dá na nějakou stránku nebo s nějakým zvláštním požadavkem dostat někam, kam by se člověk dostat neměl.

Pokud je žádoucí mít zaheslovaný celý web, tak si přístup nekontroluje každá stránka extra, ale konfigurace práv je nastavená v konfiguraci webu.

[Mirek Prýmek]

Pokud je žádoucí mít zaheslovaný celý web, tak si přístup nekontroluje každá stránka extra, ale konfigurace práv je nastavená v konfiguraci webu.

Jde o to, že když provozuju x webových aplikací, tak mám x implementací autentizace, které můžou mít různé zranitelnosti. Pokud mám jednu bariéru, přes kterou se script kiddies nedostanou, je to podle mýho názoru podstatně jednodušší a pro správu příjemnější situace.

Jak psal Jedna, těch CVEček na různý chyby v různých CMSkách apod. jsou mraky a útoky na ně jsou časté, navíc u různých systémů můžou být různé zapomenuté defaultní loginy atd. atd.

2015/01/20 02:07:15 [error] 6850#0: *1175 open() "/usr/local/www/data/phpMyAdmin-3.1.2.0-english/scripts/setup.php" failed (2: No such file or directory), client: 94.102.49.168, server: ..., request: "GET //phpMyAdmin-3.1.2.0-english/scripts/setup.php HTTP/1.1", host: "..."
2015/01/20 02:07:15 [error] 6850#0: *1176 open() "/usr/local/www/data/phpMyAdmin-3.1.2.0/scripts/setup.php" failed (2: No such file or directory), client: 94.102.49.168, server: ..., request: "GET //phpMyAdmin-3.1.2.0/scripts/setup.php HTTP/1.1", host: "..."
2015/01/20 02:07:15 [error] 6850#0: *1177 open() "/usr/local/www/data/phpMyAdmin-3.4.3.1/scripts/setup.php" failed (2: No such file or directory), client: 94.102.49.168, server: ..., request: "GET //phpMyAdmin-3.4.3.1/scripts/setup.php HTTP/1.1", host: "..."
2015/01/20 02:07:15 [error] 6850#0: *1178 open() "/usr/local/www/data/phpMyAdmin2/scripts/setup.php" failed (2: No such file or directory), client: 94.102.49.168, server: ..., request: "GET //phpMyAdmin2/scripts/setup.php HTTP/1.1", host: "..."

[Jenda]

Tahle výhoda má i některé nevýhody

To je problém otřesného GUI v browseru. Příčetný člověk to okno udělá integrované třeba do toolbaru, aby nevypadalo jako že je v obsahu stránky.