QuicksearchAnzeigenAltmetall |
Thursday, January 14. 2010Klartext
Die Geocachezentrale im Nordwesten der Vereinigten Staaten erstaunt mich immer wieder. Heute brachten die Golfos im GC-Supportteil der grünen Hölle das Thema auf den Tisch, dass die Passwörter bei GC im Klartext auf dem SQL-Server gespeichert werden.
Das mochte ich erst gar nicht glauben, daher schnell eben ausgeloggt und selber ausprobiert: Forgot your password? Ein paar Sekunden später Klingelingsiehabenpost: Your login information for the email address webmaster@nwct.de is below: Also tatsächlich. Ich sehe das von mir eingetragene Passwort. Demnach muss es seit Erstellung des Kontos dort auch im Klartext gespeichert worden sein. Erster Gedanke: Ihr habt sie doch nicht alle. Da treiben die im Januar Update Kosmetik mit HTML und CSS, so dass fast alle Skripte und Programme die auf die GC-Unterseiten aufsetzen, ihre Probleme bekommen. Kleinigkeiten werden hier und da gefeilt und breit kommuniziert. Aber Passwörter im Klartext in der Datenbank. Natürlich muss eine Website das Passwort irgendwie vergleichen. Schon im letzten Jahrtausend hat man aber in ollen DOS-Programmen aus Performancegründen mindestens mit XOR verschlüsselt, damit man das Passwort nicht direkt einsehen kann, wenn mal die Datei geklaut wird. Und sowas kommt gar nicht so selten vor. Weil viele Benutzer für alles mögliche von Forum bis ebay das selbe oder einen ganz kleinen Bestand an Passwörtern verwenden und gern auch überall den gleichen Benutzernamen verwenden können Kriminelle damit dann einen Menge Unfug machen. Deswegen wird das Passwort üblicherweise als MD5-Hashcode abgelegt, dann kann man zumindest nicht mehr direkt auf das Passwort kommen um es woanders weiterzuverwenden. Allerdings kann man sich zu einem MD5-Hashcode ein Passwort machen lassen, das ebenfalls funktioniert. Daher wird heute fast überall auch auf salted SHA1 umgestellt um eben das weiter zu erschweren. Jedes popelige Forum oder Portal macht das heute so, die Datenbanken bieten Funktionen zur einfachen Implementierung dazu von Haus aus an. Hat der Benutzer sein Passwort vergessen kann der Admin es auch nicht sehen sondern ein neues setzen. Da bleibt nur noch jedem zu empfehlen, für GC ein Passwort zu wählen was sonst nirgends verwendet wird. Comments
Display comments as
(Linear | Threaded)
Hapy Caching Lieben Gruß CaLLiBRi Soll ich ehrlich sein? Mich wundert bei GC inzwischen gar nichts mehr. anderer seits nach deren letzen layout verschlimmbesserungen… Mal sehen, wann man eine PQ mit Account-Passworten anstatt Waypoints bekommt Nutzen wirklich viele die gleichen Passwörter für alles? Meine Bank kennt mich nicht als ElliPirelli, eBay und PayPal auch nicht... Wär auch ein wenig putzig... g Ich versteh die Aufregung ehrlich nicht, kann allerdings als Computer Analphabet auch nicht sagen, wieso Ihr Euch so sicher seit, daß das Passwort im Klartext steht.... Übrigens steht auch mein Auto unabgeschlossen vorm Haus, wer was draus klauen will, soll wenigstens nicht die Tür kaputt machen. Aber das Autoradio ist Casette und von daher uninteressant... Noch nicht unter Verfolgungswahn leidend, Elli Und was die Sicherheit betrifft, das die PW im Klartext hinterlegt sind: Ganz einfach, ein simples Script auf dem Server kann das PW auslesen und per Mail schicken (Funktion: PW vergessen) und genau das ist der Beleg dafür. Wäre das PW verschlüsselt, dann müsste der Server ein neues generieren und zuschicken, denn er kommt ja an das alte nicht lesend heran. Die Server in den USA können von diversen Regierungebehörden überwacht werden und was die so alles mit einem Universalpasswort anfangen könnten ist mir jedenfalls nicht geheuer. Über deren Zuverlässigkeit übrigens auch nicht... |
KraftstoffeNachtfahrt
Geocaching-VideoRSS Tankstelle |
Administration • Impressum • geocaching • geocaching bilder • geocaching logs • la cabra siempre tira al monte
Bremsspuren