Mall.cz čelil hackerskému útoku. Resetuje hesla

Ty databáze určitě nebyly odděleny na starou a novou, ale jen u uživatelů bylo v db víc sloupců na hash. Před těmi patnácti+ lety, co Mall tak cca začínal, bylo MD5 považováno za ok. Dneska se používá bcrypt a za pár let to bude zase něco odpovídajícího budoucím standardům.Problém není v tom, že se dříve používalo MD5 nebo SHA1, ale v tom, že při každém přihlášení se to nepřevedlo do novějšího a starý hash nesmazal. Plus by tam mohla být funkce, že po pěti letech nečinnosti se heslo resetuje a musí obnovit přes email.(Navíc to trapné manipulování hlasy v diskuzi, kdy během hodiny negativní komentáře dostaly asi dvacet mínusů a jeden pozitivní dvacet nahoru... To asi dostala jedna směna za úkol, docela by mne zajímali IP adresy)

*CENZURA: Z prohlížeče by cokoliv, co je v input type = password nemělo

"odcházet z uživatelova PC v plaintextu". A jak server pak ověří identitu?
Teoreticky by to šlo takto, prohlížeč heslo zahashuje a pošle serveru. Server pak pracuje jen s hashem, který pro něj bude vlastně "heslo" a to si také zahashuje. Tedy takový dvojitý hash. Jenže je v tom háček. Útočníkovi by stačil jen ten hash, co posílá prohlížeč. Nepozná sice původní heslo, ale s tím hashem by se tak jako tak dostal k datům. Tím bychom si moc nepomohli. Zvláště pak, když se zjistí, že použitý hashovací algoritmus prohlížeče bude kompromitován (jako u MD5, SHA1). Stačil by změnit algoritmus, ale to znamená jiný hash, jiné "heslo".
V principu cokoli se pošle z prohlížeče na server se dá zneužit, takže je tak nějak zbytečné se pokoušet o vylepšení formuláře.
Na tohle aktuálně stačí jediné - šifrovaný přenos HTTPS, kdy obsah formuláře zná jen prohlížeč a server.

No to sice ano, ale takovy hash nikdo nebude pridavat do slovnikovych utoku ;)

Myslíš? :) Jakmile zjistí hashovací algoritmus, tak jednoduše rozšíří slovník o zahashované hesla z již existujícího slovníku. Beztak uživatelé budou stále volit jednoduchá hesla. Tak není problém vedle "12345" přidat i odpovídající hash třeba "8cb2237d0679ca88db6464eac60da96345513964".

Navic staci vygenerovat na strane serveru par znaku pri generovani prihlasovaciho formulare a tyto pak zamichat do onoho hashe a na strane serveru overit jejich pritomnost. pak bude vzdy pro stejne heslo unikatni hash. Co se HTTPS týče, samozřejmě je to nejlepší řešení, ale mnoho lidí odradí to, že jim cena hostingu jednonásobně vzroste.

Muzes to prosim popsat detailneji? Nejak nejsem schopen pochopit, jak to myslis. A dost by mne to zajimalo. Idealne s nejakym prikladem. Diky!

Jak jsem pochopil, tak jde o princip solování.
Server náhodně vygeneruje znaky (salt, token) a ten pošle spolu s formulářem. V současné době na tom funguje CSRF. Před odesláním formuláře se heslo zahashuje. Jelikož formulář obsahuje salt, tak hash ještě osolí. Na serveru se pak vytáhne hash z DB, osolí dočasně uloženým saltem a porovná. Onen salt existuje pouze v daném požadavku, takže hash hesla z prohlížeče je pokaždé jiný.
To by šlo, ale stále je tu problém s tím dalším. Nelze předpokládat, že hashovací algoritmus prohlížeče bude existovat věčně. Jakmile se změní, změní se i hash a celý je to pak bude k ničemu, protože server nebude vědět, že se použil jiný algoritmus.

Nejak mi porad unika, jak se tim komplikuje zivot utocnikovi, ktery vidi tu plaintext komunikaci. A ktery tim padem vidi i ten jednorazovy "token".

Takhle nijak :) Komplikace je pouze v tom, že musí luštit o trošku déle. Navíc ten hash nemůže použít vícekrát. Tak si musí dát práci získáním toho "tokenu".

Ze jsi "zrusil" ucet jeste neznamena, ze smazali tve udaje...

Napadlo mi to samé.

no, po květnu 2018 (GDPR) by to měli kluci pěkně mastný...

Část lidí se tam třeba nepřihlásila už roky.

Tak by tam měl furt ten starý hash. A problém by se tedy týkal třeba těch, co se nepřihlásili od roku 2012 a tedy nejspíš naprosto zanedbatelná část uživatelů.
Každopádně problém hashování hesla je až druhotný problém, ten hlavní je, jak to že se jim tam někdo vůbec naboural...

Přesně to samé jsem teď napsal pod tebou, taky nechápu proč to nepřehashovali, taky mě ta informace hned bouchla do hlavy

Co když se někdo roky nepřihlásil?

Tak by tam měl furt ten starý hash. A problém by se tedy týkal třeba těch, co se nepřihlásili od roku 2012 a tedy nejspíš naprosto zanedbatelná část uživatelů.
Každopádně problém hashování hesla je až druhotný problém, ten hlavní je, jak to že se jim tam někdo vůbec naboural.

Já tam nakupuji minimálně jednou ročně, takže mě by se to netýkalo a dnes týká. Konkrétně v mém případě tedy selhali a tou nedbalostí mé heslo uniklo.Tragédie to není, ale zamrzí. Asi by mělo být normou, že u každého vyplňovaného hesla bude informace, jak s ním kdo naloží. Pořád ještě ho občas někdo ukládá jako plain...