Druckbare Version
Hallo!
Ich finde es sicherheitstechnisch sehr bedenklich dass Username, Password und Filename beim Decodieren im Klartext uebertragen werden.
So sieht man also wer was macht und kann sich dazu noch das Password ansehen...
Sollte man nicht zumindest das Password MD5 hash'en bevor man es uebertragt?
Password im Klartext? Wo denn?
Das Decoderprogramm laesst einen http GET auf den Server los der so aussieht:
/uncrypt.php?email=deineemailadresse&pass=deinpassw ord&filename=deingewuenschtesfile
Vorerst einmal Danke für Deine Antwort!
LG!
RPH
..nun ja...wenn jemand nichts besseres zu tun hat, als sich in meinem otr-account reinzuhacken, dann tut der mir leid... :rolleyes:
auf der seite wird ja auch pass/email unverschlüsselt gesendet
Es geht ja auch nicht darum dass es dann moeglich ist den account von jemand anderem zu verwendet - man kann sich ja selbst einen erstellen - sondern mehr darum dass man sieht wer was downloaded (data mining).
joa.. also wer wirklich sichergehen will kann ja seine id statt email angeben und das ganze ueber proxy laufen lassen. so kommt man höchstens anonym in eine statistik rein.
Eine Passwortverschlüsseöung ist nicht nur sinnvoll, sondern m.E. unerläßich! Auch die Sache mit demm SSL sollte man ernsthaft überlegen.Zitat:
Original von george
ok - das stimmt allerdings.
eine passwort-verschlüsselung wäre vielleicht doch sinnvoll...
nur ob otr bereit ist den decoder umzuprogrammieren + login auf der seite mit SSL ist die andere frage...
Programmtechnisch dürfte das kein großes Problem sein.
LG!
RPH
Wenn das so einfach wäre hätten sie es sicher schon gemacht - SSL ist aber leider nicht so einfach :(Zitat:
Originally posted by RPH
Eine Passwortverschlüsseöung ist nicht nur sinnvoll, sondern m.E. unerläßich! Auch die Sache mit demm SSL sollte man ernsthaft überlegen.Zitat:
Original von george
ok - das stimmt allerdings.
eine passwort-verschlüsselung wäre vielleicht doch sinnvoll...
nur ob otr bereit ist den decoder umzuprogrammieren + login auf der seite mit SSL ist die andere frage...
Programmtechnisch dürfte das kein großes Problem sein.
LG!
RPH
(ne MD5-Sum sollte es dagegen schon sein)
bei FTP werden name und passwort auch als klartext übertragen... schon immer.Zitat:
Original von RPH
Eine Passwortverschlüsseöung ist nicht nur sinnvoll, sondern m.E. unerläßich! Auch die Sache mit demm SSL sollte man ernsthaft überlegen.
RPH
wird nur einfach nicht hochgespielt.
Die überwiegende Anzahl von Community Sites verwendet CLEAR TEXT Authentifizierung.Zitat:
Originally posted by atomino
bei FTP werden name und passwort auch als klartext übertragen... schon immer.
wird nur einfach nicht hochgespielt.
Die grosse Gefahr sehe ich hier auch nicht unbedingt.
Ein Hash bringt auch nicht viel, solange er im Klartext übertragen wird.
Adios