Facebook and passwords

[Hikedaya]

День только начался, а уже улов.
Итак, всем известная "мордокнига". И всем известная ее программа поощрения "белых хакеров", людей, ищущих дыры в безопасности этой сети и отчитывающихся о ним владельцам этой самой сети с целью закрытия уязвимостей. Читаем правила, в частности, раздел "это не бага, а фича":

Ineligible Reports and False Positives
...
Case-insensitive passwords. We accept the "caps lock" version of a password or with the first character capitalized to avoid login problems.
...
www.facebook.com/whitehat/

Иными словами - если у вас в пароле первый символ - заглавная буква, или вы набираете пароль при включенном CAPS LOCK - регистр пароля не учитывается вовсе.
Что тут скажешь, привет компании Blizzard, которая чхать хотела на регистр символов в пароле вообще.

@музыка: Gandalf - Departure

@темы: Этот безумный мир, Security

Comments

[Линда Кайе]

Тоесть у них пароли хранятся в открытом виде?

[Hikedaya]

Линда Кайе, сложно сказать. Не думаю, что там уж совсем дубы сидят, потому есть предположение, что в таблице паролей просто указано два хэша на каждую учетку - хэш обычного пароля, и хэш его capitalized-версии. Или может быть пароль при проверке сначала в любом случае преобразуется в capitalized-версию, а только потом сравнивается хэш.
Хотя всякое может быть... У тех же Diary он, действительно, раньше хранился в открытом виде. Как сейчас - не знаю.

[Линда Кайе]

О, про два хэша не подумала OO

[Hikedaya]

Если честно, это предположение мне пришло в голову только тогда, когда я твой вопрос увидел. Все же хочется думать о людях лучше, чем они, подчас, есть Но хранить открытый пасс все же дешевле и проще, так что вполне возможно, что думаю я хорошо о людях совершенно напрасно.

[Линда Кайе]

^^