Изменение на сайте: форма получения забытого пароля

Было бы удобнее чтобы в письме приходил не только код, но и линк, уже этот код содержащий вместе с логином. Вручную вводить не очень удобно.

зато unix way

теперь мы не высылаем пароль по почте

А он что, в незашифрованном виде хранится? Какой ужас...

Ну, может там новый пароль высылался, вместо старого?

раньше хранился, что сейчас , вот это уже интересно...


=========

хорошо бы со страницы, где показан новый пароль, убрать форму для входа на js,
если логиниться сразу с нее, то ФФ еще раз хочет отправить код для сброса, он конечно уже не работает, но зачем лишние сообщения об ошибках ? )

нет. старый.

>А он что, в незашифрованном виде хранится? Какой ужас...

А можно узнать, что такое ужасное случится, если кто-то угонит твой пароль от ЛОРа?

Можно сильно испортить репутацию.

А может у меня где-то еще такие же пароли? И вообще, пароль никогда и нигде не должен храниться в явном виде. Только хеш. Это же так просто:

...
	if( !get_qs() ) die(NO_QS);
...
	if(!(pass_raw = get_qs_param("passwd"))) die(NO_PASSWD);
	pass = sha(pass_raw, "$6$pass-enc$");
...

Хех. Ну тогда либо Макскому известен сверхуберсекретный алгоритм быстрого восстановления пароля по его хешу, либо действительно ой

>Можно сильно испортить репутацию.
Так уж прям сильно? Если у меня угонят пароль, я сообщу об этом модераторам с мейла, указанного при регистрации, и угонщик останется без аккаунта. Если какой-то ужас напишут от моего имени — оно так и так потрётся. Не вижу трагедии.

Если какой-то ужас напишут от моего имени — оно так и так потрётся. Не вижу трагедии.

Десяток удалений с (-20) - и готово!

Мне хватит семи :)
Всё равно не вижу трагедии.

> Если у меня угонят пароль, я сообщу об этом модераторам с мейла, указанного при регистрации

Если угонят твой пароль, то ящик можно сменить.

Если какой-то ужас напишут от моего имени — оно так и так потрётся.

С аккаунта Хокума писали разный бред, большая часть которого так и осталась висеть. Теперь Хокума все считают идиотом.

Параноики в восторге.

>Если угонят твой пароль, то ящик можно сменить.

Интересно, а информация о том, какой ящик указывался изначально, сохраняется?

Теперь Хокума все считают идиотом.

Все минус один. Я не считаю. Я с ним вообще не знаком.
Более того, есть у меня подозрение, что у большинства здесь найдётся в активе пара-тройка идиотских высказываний и без угона паролей. У меня точно были, особенно когда ещё пить не бросил :)

Кстати с длинными паролями был баг, они успешно высылались, но по ним было не зайти.
Из-за этого пришлось создавать нового персонажа на лоре =)

> Можно сильно испортить репутацию.

А разве бывает куда? Особенно здесь?

про это надо было раньше говорить, теперь уже не актуально

> А он что, в незашифрованном виде хранится? Какой ужас...

скоро будут в шифрованном виде, скорее всего через библиотеку http://www.jasypt.org/encrypting-passwords.html

Ну, можно и не шифровать Javascript'ом, просто при аутентификации переходить на шифрованное соединение, как это делается, например, в гугле, а шифровать уже на сервере и сравнивать с хэшем пароля из БД...

это и не javascript, это server side хеш пароля с salt и итерациями

Ох уж эти нововведения... А ведь все началось со смены опроса! Так, чего доброго, и до опенид доживем :)

И белку разбаним...

> И белку разбаним...

Ирси сразу уж. И саныча.

>Ирси сразу уж. И саныча.

И виталика с рутом и тангейзером. Белка при таких раскладах нафиг не сплющилась.

>>Ирси сразу уж. И саныча.

И виталика с рутом и тангейзером. Белка при таких раскладах нафиг не сплющилась.

Тролли и клоуны притягиваются друг к другу?

> вместо этого высылаем инструкцию по сбросу пароля.

Предлагаю высылать md5 хеш пароля и инструкцию где скачать крекалку хешей ;)

И тузика!

OpenID - неистово плюсую. Полезная же штука однако.