DevProTalk

Forumi IT profesionalaca
web development, web design, e-business, SEO


Idite nazad   DevProTalk > Web development i web aplikacije > SQL baze podataka - Sponzor: Baze-Podataka.net
Želite da se reklamirate ekskluzivno na ovoj poziciji? Javite se

SQL baze podataka - Sponzor: Baze-Podataka.net MySQL, MSSQL, Oracle, Access, ODBC. Ako imate problem brže i preciznije ćete dobiti odgovor ako priložite strukturu tabela ili skript koji kreira tabele i puni ih test podacima umesto što to problem opisujete samo rečima. Sponzor: Baze-Podataka.net - Blog o bazama podataka

Odgovori
 
Alati teme Način prikaza
Staro 28. 02. 2009.   #11
Dragi Tata
dinosaurus
Master
 
Avatar Dragi Tata
 
Datum učlanjenja: 29.12.2005
Lokacija: Nova Engleska
Poruke: 636
Hvala: 79
263 "Hvala" u 66 poruka
Dragi Tata će postati "faca" uskoroDragi Tata će postati "faca" uskoroDragi Tata će postati "faca" uskoro
Default

Citat:
Originalno napisao artur_dent Pogledajte poruku
Hash zastita funkcionise lepo, tako sto postoji jednosmerna funkcija koja pravi od tvoje lozinke kriptovanu lozinku. Tako da se u bazi cuvaju samo kriptovani parnjaci. Sa akcentom na ono jednosmerna, dakle nije moguce izvuci lozinku nazad iz hash-a.
U stvari mene iznenađuje (blago rečeno) broj sajtova koji ne rade to što si opisao, tj. čuvaju lozinku u bazi. Još lepše, ako im pošalješ zahtev za reset lozinke, oni ti lepo pošalju lozinku u e-mailu
Dragi Tata je offline   Odgovorite uz citat
Staro 28. 02. 2009.   #12
salebab
profesionalac
Qualified
 
Avatar salebab
 
Datum učlanjenja: 10.11.2006
Lokacija: Beograd
Poruke: 102
Hvala: 19
21 "Hvala" u 18 poruka
salebab is on a distinguished road
Pošaljite ICQ poruku za salebab Pošaljite poruku preko MSN za salebab
Default

^ Još lepše je kada admin jednog dobro posećenog phpBB foruma ubaci još jednu kolonu u tabelu za plaintext passworde. Verovatno mu trebaju da bi špijunirao korisnike, jer se zna da mnogo njih koristi isti password za mail, forume, facebook, itd...
__________________
www.salebab.net
salebab je offline   Odgovorite uz citat
"Hvala" salebab za poruku:
Staro 01. 03. 2009.   #13
kodi
133t
Master
 
Avatar kodi
 
Datum učlanjenja: 08.01.2006
Lokacija: Beograd
Poruke: 714
Hvala: 16
37 "Hvala" u 28 poruka
kodi is on a distinguished road
Pošaljite ICQ poruku za kodi
Default

kreditne kartice...
__________________
kodi je offline   Odgovorite uz citat
"Hvala" kodi za poruku:
Staro 01. 03. 2009.   #14
Dragi Tata
dinosaurus
Master
 
Avatar Dragi Tata
 
Datum učlanjenja: 29.12.2005
Lokacija: Nova Engleska
Poruke: 636
Hvala: 79
263 "Hvala" u 66 poruka
Dragi Tata će postati "faca" uskoroDragi Tata će postati "faca" uskoroDragi Tata će postati "faca" uskoro
Default

Slučajno naleteh na ovaj taze blog administratora sajta CodeProject.com:

http://www.codeproject.com/script/Me...06#xx2939706xx

There's always debate[^], complaints[^] and personal preferences as to whether passwords should be encrypted in a database and sent back to a user when it's requested, or whether it should be one-way hashed and 'reset link' (or similar) provided to those users who forget their password.

Over the years we've asked members what they wanted and the preference has changed from "Please send me my original password" to "Please don't send me my password". I, personally, prefer that I get my original password when I ask for it because

a) I hate having to write down or remember Yet Another Password.
b) I don't use the same password for CodeProject as I do for, say, my bank
c) I control my email box
d) Often sites that allow you to reset your password allow anyone to reset your password (meaning you get lots of links that don't work if someone hates you and abuses the system), or they ask you a 'security' question before sending the link. Frankly, everyone knows my Mother's Maiden name ("Mum" AND the name of my first pet ("Cuddles the Rabbit") so these questions, to me, are not very secure. And to be honest I just couldn't be bothered with the extra hassle.

This reasoning doesn't apply for all, and above and beyond these personal reasons of mine there is the simple fact that if you are going to look after personal information of your members you should do it properly.

So, as of today we no longer encrypt passwords, but instead we store them as a one-way hash. This means we can no longer send you your password when you ask for it.

However, I figured we needed to

a) Allow people to maintain their current password if at all possible, and
b) Protect the system from abuse

So when you request a new password, we send you a temporary password and still allow you to sign in with your old password. If you sign in with the temp password then your password becomes the temporary password, permanently. If you suddenly remember your old password and sign in with it, then the temporary password is removed.

Hopefully the best of both worlds with the added security that no one, not us, not you, not your nosy coworkers, will ever know your password.
Dragi Tata je offline   Odgovorite uz citat
"Hvala" Dragi Tata za poruku:
Staro 01. 03. 2009.   #15
ivanhoe
Ivan Dilber
Sir Write-a-Lot
 
Avatar ivanhoe
 
Datum učlanjenja: 18.10.2005
Lokacija: Bgd
Poruke: 5.320
Hvala: 104
2.344 "Hvala" u 583 poruka
ivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svimaivanhoe je ime poznato svima
Pošaljite poruku preko Skype™ za ivanhoe
Default

Mislim da je ovo prekomplikovano za usera. Zadnjih par projekata sam koristio foru za koju ja licno mislim da je the best practice:

Passwordi se cuvaju kao hash. Kad se klikne na Forgoten password, moras da uneses mail kojim si se registrovao i onda se na tu adresu salje mail sa 'reset password' linkom. Tako nema mogucnosti da ti neko drugi resetuje password. Kad kliknes na link dobijes formu da uneses novi password, tako da mozes da stavis nesto sto ti se svidja, autogenerisani passwordi su smaranje.
__________________
Leadership is the art of getting people to want to do what you know must be done.

Poslednja izmena od ivanhoe : 02. 03. 2009. u 00:31.
ivanhoe je offline   Odgovorite uz citat
2 članova zahvaljuje ivanhoe za poruku:
Staro 02. 03. 2009.   #16
Dragi Tata
dinosaurus
Master
 
Avatar Dragi Tata
 
Datum učlanjenja: 29.12.2005
Lokacija: Nova Engleska
Poruke: 636
Hvala: 79
263 "Hvala" u 66 poruka
Dragi Tata će postati "faca" uskoroDragi Tata će postati "faca" uskoroDragi Tata će postati "faca" uskoro
Default

U principu se slažem. Jedino što ne volim da klikćem na link koji mi stigne mejlom, mada ako mejl stigne kao odgovor na moju akciju to svakako pomaže
Dragi Tata je offline   Odgovorite uz citat
"Hvala" Dragi Tata za poruku:
Staro 02. 03. 2009.   #17
LiquidBrain
Milan Cvejic
Wrote a book
 
Avatar LiquidBrain
 
Datum učlanjenja: 05.09.2006
Lokacija: Beograd
Poruke: 1.241
Hvala: 32
73 "Hvala" u 56 poruka
LiquidBrain će postati "faca" uskoro
Pošaljite poruku preko Yahoo za LiquidBrain
Default

Citat:
Originalno napisao Dragi Tata Pogledajte poruku
Slučajno naleteh na ovaj taze blog administratora sajta CodeProject.com:

http://www.codeproject.com/script/Me...06#xx2939706xx

There's always debate[^], complaints[^] and personal preferences as to whether passwords should be encrypted in a database and sent back to a user when it's requested, or whether it should be one-way hashed and 'reset link' (or similar) provided to those users who forget their password.

Over the years we've asked members what they wanted and the preference has changed from "Please send me my original password" to "Please don't send me my password". I, personally, prefer that I get my original password when I ask for it because

a) I hate having to write down or remember Yet Another Password.
b) I don't use the same password for CodeProject as I do for, say, my bank
c) I control my email box
d) Often sites that allow you to reset your password allow anyone to reset your password (meaning you get lots of links that don't work if someone hates you and abuses the system), or they ask you a 'security' question before sending the link. Frankly, everyone knows my Mother's Maiden name ("Mum" AND the name of my first pet ("Cuddles the Rabbit") so these questions, to me, are not very secure. And to be honest I just couldn't be bothered with the extra hassle.

This reasoning doesn't apply for all, and above and beyond these personal reasons of mine there is the simple fact that if you are going to look after personal information of your members you should do it properly.

So, as of today we no longer encrypt passwords, but instead we store them as a one-way hash. This means we can no longer send you your password when you ask for it.

However, I figured we needed to

a) Allow people to maintain their current password if at all possible, and
b) Protect the system from abuse

So when you request a new password, we send you a temporary password and still allow you to sign in with your old password. If you sign in with the temp password then your password becomes the temporary password, permanently. If you suddenly remember your old password and sign in with it, then the temporary password is removed.

Hopefully the best of both worlds with the added security that no one, not us, not you, not your nosy coworkers, will ever know your password.
Administrator sa ovakvim stavom i ovakvim principima treba odmah da dobije otkaz...
__________________
http://weevify.com
LiquidBrain je offline   Odgovorite uz citat
"Hvala" LiquidBrain za poruku:
Staro 02. 03. 2009.   #18
misk0
majstor
Wrote a book
 
Avatar misk0
 
Datum učlanjenja: 30.01.2006
Lokacija: Lugano - Switzerland
Poruke: 1.251
Hvala: 219
106 "Hvala" u 67 poruka
misk0 će postati "faca" uskoromisk0 će postati "faca" uskoro
Pošaljite ICQ poruku za misk0 Pošaljite poruku preko Skype™ za misk0
Default

Citat:
Originalno napisao Dragi Tata Pogledajte poruku
U principu se slažem. Jedino što ne volim da klikćem na link koji mi stigne mejlom, mada ako mejl stigne kao odgovor na moju akciju to svakako pomaže
Iz kog razloga? sta je problematicno u tom linku i 1nom kliku?
misk0 je offline   Odgovorite uz citat
"Hvala" misk0 za poruku:
Staro 02. 03. 2009.   #19
cvele
Banned
Knowledge base
 
Avatar cvele
 
Datum učlanjenja: 01.07.2005
Poruke: 1.598
Hvala: 206
140 "Hvala" u 89 poruka
cvele ima spektakularnu aurucvele ima spektakularnu auru
Default

Citat:
Originalno napisao LiquidBrain Pogledajte poruku
Administrator sa ovakvim stavom i ovakvim principima treba odmah da dobije otkaz...
molim te elaboriraj
cvele je offline   Odgovorite uz citat
Staro 02. 03. 2009.   #20
Markok
expert
Expert
 
Datum učlanjenja: 14.11.2008
Lokacija: Srbija
Poruke: 539
Hvala: 142
129 "Hvala" u 67 poruka
Markok će postati "faca" uskoroMarkok će postati "faca" uskoro
Default

Hvala na odgovorima. Mislima da je one-way enkripcija ono sto mi odgovara, moracu jos malo da razmislim.
Markok je offline   Odgovorite uz citat
Odgovori


Alati teme
Način prikaza

Pravila pisanja
Možete ne započinjati nove teme
Možete ne slati odgovore
Možete ne slati priloge
Možete ne izmeniti svoje poruke
vB kôd je Uključen
Smajliji su Uključen
[IMG] kod je Uključen
HTML kôd je Isključen
Pogledajte forum

Slične teme
Tema Početna poruka teme Forum Odgovori Poslednja poruka
Neka mi neko objasni ako zna - MTU, hosting ili nesto trece... Dejan Bizinger Web Hosting, web serveri i operativni sistemi 5 07. 09. 2007. 03:38
Moze li ovo krace? Pedja PHP 7 02. 08. 2007. 13:50
Ko moze duze? : ) dee Opušteno 20 24. 10. 2006. 08:46
Da li ovo moze?!? a i ako moze kako?!? LiquidBrain PHP 16 22. 09. 2006. 15:55


Vreme je GMT +2. Trenutno vreme je 12:26.


Powered by vBulletin® Verzija 3.6.8
Copyright ©2000 - 2024, Jelsoft Enterprises Ltd.
Copyright © DevProTalk. All Rights Reserved.
Mišljenja, saveti, izjave, ponude ili druge informacije ili sadržaji nastali na Sajtu su vlasništvo onoga ko ih je kreirao, a ne DevProTalk.com, tako da ne morate da se oslanjate na njih.
Autori poruka su jedini odgovorni za ovakve sadržaje. DevProTalk.com ne garantuje tačnost, kompletnost ili upotrebnu vrednost informacija, stavova, saveta ili datih izjava. Ne postoje uslovi pod kojima bi mi bili odgovorni za štetu ili gubitak koji je posledica bilo čijeg oslanjanja na nepouzdane informacije, ili bilo kakve informacije nastale kroz komunikaciju između registrovanih članova.
Web sajt može sadržavati linkove na druge web sajtove na Internetu ili neke druge sadržaje. Ne kontrolišemo niti podržavamo te druge web sajtove, niti smo pregledali bilo kakve sadržaje na takvim sajtovima. Mi nećemo biti odgovorni za legalnost, tačnost ili prikladnost bilo kog sadržaja, oglasa, proizvoda, usluga ili informacije lociranim na ili distribuiranih kroz druge web sajtove, niti za bilo kakvu štetu nastalu kao posledica takvih informacija. DevProTalk.com drži i čuva druga prava vlasništva na web sajtu. Web sajt sadrže materijale zaštićene copyright-om, zaštitne znakove i druge informacije o pravu vlasništva ili softver. Članovi mogu poslatu informacije zaštićene pravima vlasništva njihovih nosilaca i ona ostaju zaštićena bez obzira da li su oni koji prenose te informacije to naveli ili ne. Osim informacija koje su u javnom vlasništvu ili za koje dobijete dozvolu, nemate pravo da kopirate, modifikujete ili na bilo koji način menjate, objavljujete, prenosite, distribuirate, izvršavate, prikazujete ili prodajte bilo koju informaciju zaštićenu pravima vlasništva. Slanjem informacija ili sadržaja na bilo koji deo DevProTalk.com, Vi automatski dozvoljavate i predstavljate garanciju da imate pravo da dozvolite DevProTalk.com ili članovima DevProTalk.com bespovratnu, kontinualnu, neograničenu, globalnu dozvolu da koriste, kopiraju, izvršavaju, prikazuju i distribuiraju takve informacije i sadržaje i da iz takvih sadžaja koriste bilo koji deo u bilo koje svrhe, kao i pravo i dozvolu da koriste gore navedene sadržaje. Svi zaštitni znakovi (trademarks), logotipi, oznake usluga, firme ili imena proizvoda koji se pominju na ovom web sajtu su vlasništvo kojim raspolažu njihovi vlasnici.