что за новая мода - вводить логин отдельно, потом отдельно пароль?

Никогда не встречал такого.

Это новая security фишка. На некоторых особоупоротых сайтах логин это число-буквенная последовательность и на сайте есть защита от сохранятора логина.

только сегодня встретил в очередной раз - логин в яндекс

Возможно, на странице логина выдают какой-нибудь токен и таким образом замедляют брутфорс.

Или если в логине есть @специальныйДомен, они переправляют тебя на логин через oauth/что-там-ещё-модно.

Защита от ботов?

О, кстати, а поняшке такую аву с пюпитром снесли.

Точно! Вспомнил, еще при логине в Скайп такое есть.

Попробуй ввести имя несуществующего пользователя, наверное после этого станет понятно, зачем так делают.

Яндекс, Apple, Альфа Банк

Или если в логине есть @специальныйДомен, они переправляют тебя на логин через oauth/что-там-ещё-модно.

This. Чаще всего так делают именно для этого.

Авторизация может быть не только по логину/паролю, но и через мобильное приложение, email или SMS. Соответственно поле, которое нужно показать пользователю, будет зависеть от введённого логина/email/телефона.

поле, которое нужно показать пользователю

Это можно и на той же странице делать. Если руки не из жопы.

кокое-нибудь наверняка динОмическое переиспользование поля ввода, которое авторам кажецца очень продвинутым, а все остальные обоснуи — «поздние рационализации» :)

Это можно и на той же странице делать. Если руки не из жопы.

Делай. Только чтобы в links тоже работало. Мы всё-таки на лоре, надо соблюдать традиции.

Google

Это даёт интерфейс для более сложных и надёжных моделей аутентификации окромя пары логин/пароль. Приучают к горшку так сказать потихоньку, пока можно под себя какать, но это уже не так удобно как раньше. Например, можно вставить этап с n-факторной аутентификацией, или усиленную криптографию для передачи хэша пароля по сети, после предварительной аутентификации пользователя.

про таб - это тайное знание, доступное только «тыжпогромистам»

Есть такое понятие, как default button. Tab нажимать не нужно. Но иногда смузишлёпы-формохлёбы забывают про этот элемент usability. И про tab они тоже забывают, и про существование десктопов.

Трафик не гоняется, ангуляр-реакт жеж. Про несуществующий логин только после ввода пароля узнаёшь поди

Вариант защиты от брута, наверное.

а что лучше с т.з. безопасности? «неверный логин или пароль» или «неверный логин»?

У некоторых аккаунтов нет пароля, а авторизая через код в смс

Даже в гугле уже так. Тоже смысла не понимаю, но вот

enter как бы говорит само за себя…

на многих сайтах по энтеру, вместо перевода фокуса с поля логина на поле пароля, происходит логин с пустым паролем

Гуглопочта

Ну с «новой» модой ты явно запоздал.

Таки да, бесит. Что самое интересное - делается это ради веяний моды, а не ради сусурити. Потому что чтобы делать это ради сусурити - надо сначала проанализировать свои ЛОГИ, есть ли брутфорс, по какому принципу ведется, какой процент успешных или около того.

Ржач. Увидел такое на вротпрессовском сайте. Блох. Посещаемость судя по яндекс аналитике - 25 человек в день. Это фиаско, братаны.

Да, не первый раз вижу этот дебилизм. Раздражает страшно.

Даже в гугле уже так

Потому что логин в google apps может проходить не через сам гугл, а через аутентификацию по какому-то корпоративному ldap, да ещё и с кастомной корпоративной двухфакторкой. И гугл точно это все поддерживает, перенаправляя со своей страницы ввода логина на корпоративную страницу.

Модная концепция: если в логине недопустимые символы (ошибся, например), то юзеру не нужно вводить пароль, он получит сообщение об ошибке до заполнения второго поля. Забота.

Например, можно вставить этап с n-факторной аутентификацией

Это намного большее решето, чем пароль. Номера телефонов угоняют. Пароль — очень надёжное средство если правильно использовать, точно надёжнее новомодных методов.

а авторизая через код в смс

У этого кода вероятность случайно попасть довольно высокая. И номера телефонов угоняют.

Большое количество полей пугает и запутывает 95% пользователей. Т.к. 0 полей не сделать, сделали 1 :)

Ну и еще сейчас много сервисов без логин-пароль, тупо номер + код из смс. Вот и лепят такой шаблон.

У этого кода вероятность случайно попасть довольно высокая. И номера телефонов угоняют.

Но это не их проблемы, так что наплевать. Зато пользователь не сможет логи-пароль забыть.

а что лучше с т.з. безопасности? «неверный логин или пароль» или «неверный логин»?

«неверный логин или пароль»

А при восстановлении пароля всегда успешно завершать фразой: если такой логин/е-mail есть в нашей базе, то на него отправлено сообщение с дальнейшими инструкциями.

+1.

У вас ус отклеился!

Ключевые слова тут:

если правильно использовать

Так-то согласен достать из головы правильно выбранный пароль хорошего размера сложнее чем взломать остальное. Другое дело - пользователей никак формально не заставить «использовать правильно», а в более других методах аутентификации у пользователя гораздо меньше возможностей сделать что-то не так.

IT профессионалам нужно понимать, что большинство сервисов в этом мире работают не для них а для рядовых пользователей. Это примерно как автослесарь не поедет на весте - ему страшно, он видит как она устроена. А обычные пользователи смотрят - о! вроде на солярис похожа, надо брать, ещё и дёшево. Только у слесаря есть выбор, а сервис шарит свой интерфейс между всеми пользователями.

вот мы с тобой слесари, а выбора «тачки» у нас нет, жрем что дают. ну да, можно же свою тачку собрать.

Типа того, для слесарей есть открытый on-premise где неудобные моменты можно пропатчить и поддерживать в форке. А так же есть возможность(на самом деле нет без учёта пользователей и конкурентов) собрать всё включая детали, узлы и агрегаты с нуля.

Но, хотеть - не значит жениться, на практике несмотря на теоретическую возможность, в основном все ходоки по пути наименьшего сопротивления с пожиранием того, что предлагается пользователю.

И тут можно сделать вывод, что моду задают тупейшие, а как подтверждение - вот эти все с дуба рухнувшие кутюрье и вообще современное искусство.

Моду задают не всегда тупейшие, но сам модный тренд будучи подхваченным массами выходит обычно каким то извращённым, гипертрофированым и покалеченным представлением изначальной идеи почти в 100% случаев.

Никогда не встречал такого.

навскидку альфобанк. где-то еще видел, сейчас не могу вспомнить.

Это новая security фишка. На некоторых особоупоротых сайтах логин это число-буквенная последовательность

в чем заключается сосурити? и где логин - не "число-буквенная последовательность"?

и на сайте есть защита от сохранятора логина

это кто такой?

Возможно, на странице логина выдают какой-нибудь токен и таким образом замедляют брутфорс

но тогда что мешает его спарсить, скачав страницу тем же курлом? и сохранив куки им же, если оно, например, в куках?

Или если в логине есть @специальныйДомен, они переправляют тебя на логин через oauth/что-там-ещё-модно

для такого рядом с обычной формой входа делают кнопки "войти через гугл/мугл/etc". раньше как-то работало ведь))

Попробуй ввести имя несуществующего пользователя, наверное после этого станет понятно, зачем так делают.

ну так и выдавай ошибку "неверный логин", что там в качестве пароля написано, в этом случае пофиг. опять же, джвадцать лет назад все придумано и до сих пор работает.

Авторизация может быть не только по логину/паролю, но и через мобильное приложение, email или SMS. Соответственно поле, которое нужно показать пользователю, будет зависеть от введённого логина/email/телефона.

да, вот это тянет на правдоподобную версию. про такое не подумал. с другой стороны, кто мешает оставить форму логин/пароль, а для любителей альтернативных способов прикрутить кнопки "войти через жопу телефон/etc"?

Есть такое понятие, как default button. Tab нажимать не нужно. Но иногда смузишлёпы-формохлёбы забывают про этот элемент usability. И про tab они тоже забывают, и про существование десктопов.

я имел в виду таб после ввода логина для перехода в поле "пароль". потом да, просто энтер, и вообще никакой буттон не нужон.

Трафик не гоняется, ангуляр-реакт жеж. Про несуществующий логин только после ввода пароля узнаёшь поди

там, где сталкивался, вполне себе гоняется, индикатор загрузки как бы намекает. по-моему, даже редиректит на новую страницу с чуть другим адресом.

на многих сайтах по энтеру, вместо перевода фокуса с поля логина на поле пароля, происходит логин с пустым паролем

такое не пробовал. а вообще, логично, потому как дефолтное действие для элемента <input> внутри формы - submit. чтобы это изменить, надо костылить, да еще так, чтобы везде работало. поэтому логин - таб - пароль - энтер. жопоскриптов не требует, работает всегда и везде))

Ну с «новой» модой ты явно запоздал.

да я только из криокамеры вылез, а тут такое!

Это намного большее решето, чем пароль. Номера телефонов угоняют. Пароль — очень надёжное средство если правильно использовать, точно надёжнее новомодных методов.

полностью согласен. но печалька в том, что в тех же говнобанках свой очень надежный пароль можно запросто "забыть" и "восстановить" доступ через телефон, т.е. по сравнению с просто телефоном безопасность никак не улучшается (к слову, у одного банка раньше было иначе - если авторизация по паролю, а ты его просрал, то либо дуй в банк, либо в банкомате можно получить временный, т.е. либо лично с паспортом, либо карта с пин-кодом). в таком варианте смысл пароля вообще теряется.

очередная псевдобезопасность. Сначала напозволяют юзерам входить как попало и не иметь пароли в минимум 20 символов, а потом выдумывают как это всё перебороть.

Правда в том, что если хочется, чтобы замок защищал - надо дом из толстенного железа и замок ещё толще. Но даже это можно сломать, если захочется.

Правда в том, что если хочется, чтобы замок защищал - надо дом из толстенного железа и замок ещё толще. Но даже это можно сломать, если захочется.

это если есть что защищать. у обычного человека нет таких тайн, ради которых стоит городить параноидальные системы безопасности. максимум - чтобы жена не увидела перепис(ь)ку с любовницей.

Сначала напозволяют юзерам входить как попало и не иметь пароли в минимум 20 символов, а потом выдумывают как это всё перебороть.

большинство приходит в интырнет котиков посмотреть. нахрена им пароли в 20 символов?
или взять тот же лор. тут весь контент априори публичный, лички нет, взламывать нечего, да что там - люди пароли просто так выкладывают)) давайте требовать пароль не менее 20 символов, и чтоб содержал китайские иероглифы и значки из матана? просто так, чтоб жизнь малиной не казалась)))