アカウント名:
パスワード:
10桁に満たないパスワードを勝手にスペースで埋めて登録してたんですよね.
あっちが持ってるデータは,10桁に埋められたものから生成されたものですよね.
それを,スペース埋めなくてもいいようにしたってことは,もしかして例の生パスワードを保存してるんですってやつ?
と思ったけど,手動でスペースを入力してたのを,あっちで勝手にスペースを埋めるようにしただけかな.
> あっちが持ってるデータは,10桁に埋められたものから生成されたもの
平文じゃなくても、ハッシュ化処理を10文字固定でやってるとか?
10文字より長いパスワードを使っていると、11文字目以降は実はデタラメでもOK、とかだと笑える。
10文字より長いパスワードを登録すると、勝手に10文字に切ってから登録するシステムがあったことを思い出した。
Jetstarが今まさにそれだよ...いくら言ってもなおしてくれない
そもそもパスワードの文字数の上限って、なんのためにあるんだろう。異常なほど長いパスワードで通信量を逼迫させる馬鹿対策としても、1024文字くらいはOKにすればいいのに。
どうせ俺はパスワード覚える気は無いので、システムが受け入れる最長文字数のパスワードをランダムに生成して使ってるが。
ネットで送信されてサーバーが解釈するデータである以上、上限値は必要でしょう。仮に10億文字(1GB)のパスワードとか送られたらって考えればわかります。ネットワークのリソースもhash化のための負荷も相当になります。要するに正規のパスワード認証を繰り返すだけで攻撃が成立してしまいます。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
一つのことを行い、またそれをうまくやるプログラムを書け -- Malcolm Douglas McIlroy
なぜ解決できた? (スコア:1)
10桁に満たないパスワードを勝手にスペースで埋めて登録してたんですよね.
あっちが持ってるデータは,10桁に埋められたものから生成されたものですよね.
それを,スペース埋めなくてもいいようにしたってことは,もしかして例の生パスワードを保存してるんですってやつ?
と思ったけど,手動でスペースを入力してたのを,あっちで勝手にスペースを埋めるようにしただけかな.
Re: (スコア:1)
> あっちが持ってるデータは,10桁に埋められたものから生成されたもの
平文じゃなくても、ハッシュ化処理を10文字固定でやってるとか?
Re: (スコア:1)
10文字より長いパスワードを使っていると、11文字目以降は実はデタラメでもOK、とかだと笑える。
Re: (スコア:2)
10文字より長いパスワードを登録すると、勝手に10文字に切ってから登録するシステムがあったことを思い出した。
Re: (スコア:1)
Jetstarが今まさにそれだよ...いくら言ってもなおしてくれない
Re: (スコア:0)
そもそもパスワードの文字数の上限って、なんのためにあるんだろう。
異常なほど長いパスワードで通信量を逼迫させる馬鹿対策としても、1024文字くらいはOKにすればいいのに。
どうせ俺はパスワード覚える気は無いので、システムが受け入れる最長文字数のパスワードをランダムに生成して使ってるが。
Re:なぜ解決できた? (スコア:2)
ネットで送信されてサーバーが解釈するデータである以上、上限値は必要でしょう。
仮に10億文字(1GB)のパスワードとか送られたらって考えればわかります。
ネットワークのリソースもhash化のための負荷も相当になります。
要するに正規のパスワード認証を繰り返すだけで攻撃が成立してしまいます。