Надсилання паролю на імейл це порушення безпеки

[prapor]

Я пропоную забрати цей пароль і не розводити срачполеміки. Насправді він нікому не потрібен, забули — відновлять тим же незахищеним способом. Чи є аргументи проти?

Я вже не керую ресурсом, мені якось вже все одно, але є підозра що ці налаштування будуть затерті під час чергового оновлення рушія. Власне, що так незахищено, що так незахищено. Якщо нема різниці то нащо витрачати час?

[Cthulhu]

Я пропоную забрати цей пароль і не розводити срачполеміки. Насправді він нікому не потрібен, забули — відновлять тим же незахищеним способом. Чи є аргументи проти?

Ну думаю, що варто це робити. Той факт, що двом маминим хакерам щось не подобається, не означає, що хтось повинен терміново кудись бігти і щось змінювати.

[Re.]

Гаразд, залишимо це на розсуд Михайла або Володимира як адміністраторів ресурсу.

[Миха́йло Даниле́нко]

Мені в принципі однаково. Можу і прибрати. Наскільки я пам'ятаю, шаблони листів знаходяться в файлах локалізації, тому оновлення їх не зачепить.

[Миха́йло Даниле́нко]

Прибрав.

[Re.]

Прибрав.

Спасибі.

[Guest]

взагалі-то код цього форуму дуже дивний. я маю на увазі SMF. я не дуже знаю PHP, але є питання до цього коду.
Наприклад, вони перевіряють співпадіння паролів при реєстрації, валідація пароля на складність та ін, на бекенді:
https://github.com/SimpleMachines/SMF2.1/blob/8104e4328223106289fcb7719f85cb5ce88b1b1a/Sources/Subs-Members.php#L493 ,
https://github.com/SimpleMachines/SMF2.1/blob/8104e4328223106289fcb7719f85cb5ce88b1b1a/Sources/Subs-Members.php#L505 .
це ж повна дурня! хіба не можна це зробити у браузері користувача за допомогою javascript? тим більше для цього існують купа інструментів.

тоді не доведеться тягати той пароль через весь код від місця отримання:
https://github.com/SimpleMachines/SMF2.1/blob/release-2.1/Sources/Register.php#L397
до місця шифрування:
https://github.com/SimpleMachines/SMF2.1/blob/8104e4328223106289fcb7719f85cb5ce88b1b1a/Sources/Subs-Members.php#L591 .


але перед тим він попаде ще до когось тут:
https://github.com/SimpleMachines/SMF2.1/blob/8104e4328223106289fcb7719f85cb5ce88b1b1a/Sources/Subs-Members.php#L534
та в інших місцях.

цікаво, кому це знадобилось переглядати користувачів?


а стосовно того, що вас не цікавлять міри безпеки сервісів, які використовую юзер і до яких попадає його пароль відкритим текстом, можна сказати наступне. будь-який сервіс має максимально забезпечити приватність і безпеку особистих данних своїх користувачів, щоб інші сервіси не мали змогу отримувати ці данні.

взагалі-то це непогана практика цікавитись, як захист побудований на інших сервісах.

[Re.]

це ж повна дурня! хіба не можна це зробити у браузері користувача за допомогою javascript? тим більше для цього існують купа інструментів.

JS можна обійти, бекенд — ні.

[bnj]

...

Off-topic:

таке могли написати тільки спеціалісти з укркіпербізпеки

бачили? https://addons.mozilla.org/ru/firefox/addon/disable-javascript/

[bnj]

а взагалі-то Гість - молодець. Хоч покопався в коді форуму. Я колись думав позаглядати в чужі коди... але ніколи, та і не цікаво. Свого жахливика вистачає. А з паролями у мене все дуже добре (не перехвалити б себе  )

[bnj]

Шапочку з фольги начепіть, помагає.

Чхунту жжотт!


Ех, миукли веселі часи.

[Миха́йло Даниленко]

взагалі-то код цього форуму дуже дивний. я маю на увазі SMF....
це ж повна дурня! хіба не можна це зробити у браузері користувача за допомогою javascript? тим більше для цього існують купа інструментів.

Варто мати на увазі, що SMF — це переписаний на PHP перловий рушій YABB з ранніх 2000-x, що здебільшого зберіг його структуру для полегшення міграції веб-майстрам, що вже знайомі з YABB. З тих пір рушій лише набував нових функцій та виправляв баги, без серйозних структурних змін. В останні роки інтерес до форумних рушіїв майже зник — всі переїхали у соцмережі, тому розробка як амбіційної третьої версії, так і стабільної другої фактично зупинилася.

Тому при аналізі коду треба орієнтуватися на стандарти 2000-x, коли javascript у кожному бровзері працював по-різному а інструментів та бібліотек, які є зараз просто не існувало.

Щодо перевірки на стороні бекенду — то навіть якщо перевіряти ці дані на стороні фронт-енду (що підвищує інтерактивність), на бекенді така перевірка всеодно потрібна, як вже написав пан Re., інакше отримаємо SQL injection чи навіть RCE.