[Linuxtrent] Re: Riflessione su bug openssl e open source
- From: Guido Brugnara <gdo@xxxxxxxxx>
- To: linuxtrent@xxxxxxxxxxxxx
- Date: Sun, 13 Apr 2014 07:35:31 +0200
Il 12/04/2014 21:23, Roberto Resoli ha scritto:
On 12 aprile 2014 14:30:05 CEST, Guido Brugnara <gdo@xxxxxxxxx>
...
E' comunque possibile non trasmettere la password in chiaro, nemmeno
via
SSL, facendo generare una hash nel client (usando javascript)
Questo non migliora in nessun modo la sicurezza :
https://crackstation.net/hashing-security.htm
"
...........
The problem is that the client-side hash logically becomes the user's password.
All the user needs to do to authenticate is tell the server the hash of their
password. If a bad guy got a user's hash they could use it to authenticate to
the server, without knowing the user's password!
"
In questo caso la chiave di accesso (la hash della password) vale solo
per quel sito. Sempre meglio che una password in chiaro considerata la
prassi sempre più praticata di utilizzare metodi di Single sign-on.
tale da
avere una validità temporale limitata.
qui non ho capito cosa intendi
Se il "ragazzo cattivo" copia la hash potrà utilizzarla soltanto per un
periodo limitato rispetto a quando è stata generata.
Ad esempio:
1) L'utente richiede di autenticarsi al server
2) Il server invia la pagina di autenticazione (oppure il client mostra
il form di autenticazione)
3) L'utente inserisce la password di autenticazione che viene subito
convertita in hash
4) Il client richiede al server un token fornendo il nome dell'utente
5) Il server genera il token che associa all'utente segnando l'orario di
generazione e la invia al client
6) Il client compone la hash della password con il token del server e
invia una hash dell'insieme al server
7) Il server controlla che non sia passato troppo tempo dalla richiesta
precedente (pochi secondi su reti veramente lente), compone la hash di
confronto con la hash del database e il token, come ha fatto il client,
e verifica l'uguaglianza.
LImitando la validità temporale a pochissimi secondi (su reti veloci
anche di frazioni di secondo) credo sia sempre meglio che una hash
valida per quel sito fino a quando l'utente decidesse di cambiarla.
Il discorso vale ovviamente solo se il "ragazzo cattivo" è a metà strada
e non sta osservando direttamente il PC dell'utente o il server ;-)
bye
gdo
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts:
