Вопрос по правилам

пароли не шифруются
если проверите отсылку пароля по почте - то приходит оригинальный пароль,
а не ссылка на его изменение.

Это баг или фича? :-)

кхм.. а сами как думаете?
просто encryption is not implemented
а почему, вопрос не ко мне )

>пароли не шифруются
>если проверите отсылку пароля по почте - то приходит оригинальный пароль,
>а не ссылка на его изменение.

Спасибо за информацию. Нехорошо это.

>Нехорошо это.

Нехорошо было, когда кое-кто из модераторов в качестве пруфа виртуальности виртуала выложил кусок базы с паролем в plain text.

(Доказательством являлось совпадение паролей)

А если бы они выложили два хеша от одинаковых паролей, вы полагаете хеши бы оказались бы различными и доказательство не состоялось бы?

К паролям имеют доступ не все модераторы, а только те, у кого есть доступ к базе. Вроде так.

>А если бы они выложили два хеша

Это вообще к чему вопрос?

Я говорю о том, что выкладывать на ЛОРе пароли даже заблокированных пользователей не очень-то хорошо.

> Я говорю о том, что выкладывать на ЛОРе пароли даже заблокированных пользователей не очень-то хорошо.

У того многократно заблокированного и многократно уходившего пользователя был один пароль во всех логинах на ЛОРе и ещё на нескольких форумах и в почте. И какой-то злоумышленник этим воспользовался. Потому и запретили.

>> Я говорю о том, что выкладывать на ЛОРе пароли даже заблокированных пользователей не очень-то хорошо.

>У того многократно заблокированного и многократно уходившего пользователя был один пароль во всех логинах на ЛОРе и ещё на нескольких форумах и в почте. И какой-то злоумышленник этим воспользовался. Потому и запретили.

Аналогично мой регистрационный пароль так же использовался еще в некоторых местах, до прочтения правил. Хеширование все же не для красоты придумано; полномочий запрета утечки паролей пока ни у кого на этом свете нет.

> А если бы они выложили два хеша от одинаковых паролей, вы полагаете хеши бы оказались бы различными и доказательство не состоялось бы?

Вообще-то в хеши добавляют случайный компонент как раз для того, чтобы хеши одинаковых паролей выглядели по разному. Попробуй создать двух пользователей, указать им одинаковые пароли, а потом сравнить хеши.

зависит от алгоритма
в нормальных алгоритмах используются сальты, те самые несколько символов которые добавляются к паролю, чтобы сделать хеши разными

если сальтов нет или они одинаковы ( такого по идее не должно быть что одинаковы , в любом случае вероятность мала ) то хеши тоже будут одинаковы

а вообще и правда нехорошо что не шифруется

>Вообще-то в хеши добавляют случайный компонент как раз для того, чтобы хеши одинаковых паролей выглядели по разному.

Как в таком случае их сравнивать?

В простейшем случае INSERT INTO users VALUES (login, password_hash). Ну и потом сверять password_hash из дб и введённого пароля.

Или речь идёт о том, что для каждого сервера нужно завести secret_string и считать password_hash=sha1(password+secret_string)?

> как в таком случае их сравнивать?

сальт не шифруется

пример можете найти в /etc/shadow


$1$AZZZZZ$VVKQHJKSHSHJSHJSHGYGFGGFS

$1$ указывает на то что пароль использует MD5 hash

AZZZZZZ - используемый сальт, незашифрован

оставшаяся часть после $ - хеш пароля

логин получает пароль от пользователя, берет сальт, зашифровывает полученое с его помощью, сравнивает с имеющимся хешем

если изменить сальт - изменится и хеш. сами сальты не шифруются. да, можно ввести некий secret , в таком случае это будет работать как статический сальт, который в поле пароля можно и не указывать, если он один для всех.

Спасибо, здорово. Странно, почему это так редко используют в веб-приложениях (по крайней мере я никогда не видел).

Еще вопрос: история паролей хранится?..

А, полюбому где-то в бэкапах можно отрыть..