アカウント名:
パスワード:
10桁に満たないパスワードを勝手にスペースで埋めて登録してたんですよね．
あっちが持ってるデータは，10桁に埋められたものから生成されたものですよね．
それを，スペース埋めなくてもいいようにしたってことは，もしかして例の生パスワードを保存してるんですってやつ？
と思ったけど，手動でスペースを入力してたのを，あっちで勝手にスペースを埋めるようにしただけかな．
> あっちが持ってるデータは，10桁に埋められたものから生成されたもの
平文じゃなくても、ハッシュ化処理を10文字固定でやってるとか？
10文字より長いパスワードを使っていると、１１文字目以降は実はデタラメでもOK、とかだと笑える。
10文字より長いパスワードを登録すると、勝手に10文字に切ってから登録するシステムがあったことを思い出した。
Jetstarが今まさにそれだよ...いくら言ってもなおしてくれない
そもそもパスワードの文字数の上限って、なんのためにあるんだろう。異常なほど長いパスワードで通信量を逼迫させる馬鹿対策としても、1024文字くらいはOKにすればいいのに。
どうせ俺はパスワード覚える気は無いので、システムが受け入れる最長文字数のパスワードをランダムに生成して使ってるが。
「なんで上限が必用？」なんて言ってる奴は、たぶんプログラミングしたこと無い人。パスワードに限らず、何を作る場合でも上限は必用。
無限長なんてものを認めた時点で、プログラムもデバッグも必用とするリソースも、そしてかかる工数と費用も桁違いに増える。動作保証も出来なくなる。だからよほどのバカじゃ無きゃそんなことはしない＃自動車の乗員しかり、トラックの積載量しかり。無限大などありえない。
えっ、ハッシュ化して記録してあるパスワードと、入力パスワードを同様にハッシュ化して比較しないの？どうせハッシュ化するんだし、パスワード長なんて関係ないと思ってたけど？無限長とか言ってるトコ見ると、平文パスワードで保存してるの？もしかして？
平文か暗号化したものを持ってるとこもあるんじゃない？ハッシュ化は衝突がないことが保証できないので、例えそれが2の512乗分の1という宇宙が滅びるよりあり得ない確率でも承認しない役員がいてもおかしくない。
今、（IDじゃなく）パスワードの話ししてるんだよね。衝突してなにが困るのさ。普通、パスワードなんて平文の状態でもいくらでも衝突するんじゃないの。「１２３４」とか。まあ、SALT付HASHなら、衝突の確率が格段に下がるな。
> パスワードなんて平文の状態でも
って、平文の衝突とハッシュの衝突のはなししを一緒にしたらいかんと思うよ。
ハッシュが衝突する平文を見つければ、それが正しい平文でなくても認証を突破できるってこと。元の平文が衝突するとは、まったく別の問題。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
192.168.0.1は、私が使っている IPアドレスですので勝手に使わないでください --- ある通りすがり
なぜ解決できた？ (スコア:1)
10桁に満たないパスワードを勝手にスペースで埋めて登録してたんですよね．
あっちが持ってるデータは，10桁に埋められたものから生成されたものですよね．
それを，スペース埋めなくてもいいようにしたってことは，もしかして例の生パスワードを保存してるんですってやつ？
と思ったけど，手動でスペースを入力してたのを，あっちで勝手にスペースを埋めるようにしただけかな．
Re: (スコア:1)
> あっちが持ってるデータは，10桁に埋められたものから生成されたもの
平文じゃなくても、ハッシュ化処理を10文字固定でやってるとか？
Re: (スコア:1)
10文字より長いパスワードを使っていると、１１文字目以降は実はデタラメでもOK、とかだと笑える。
Re: (スコア:2)
10文字より長いパスワードを登録すると、勝手に10文字に切ってから登録するシステムがあったことを思い出した。
Re: (スコア:1)
Jetstarが今まさにそれだよ...いくら言ってもなおしてくれない
Re: (スコア:0)
そもそもパスワードの文字数の上限って、なんのためにあるんだろう。
異常なほど長いパスワードで通信量を逼迫させる馬鹿対策としても、1024文字くらいはOKにすればいいのに。
どうせ俺はパスワード覚える気は無いので、システムが受け入れる最長文字数のパスワードをランダムに生成して使ってるが。
Re: (スコア:0)
「なんで上限が必用？」なんて言ってる奴は、たぶんプログラミングしたこと無い人。
パスワードに限らず、何を作る場合でも上限は必用。
無限長なんてものを認めた時点で、プログラムもデバッグも必用とするリソースも、
そしてかかる工数と費用も桁違いに増える。動作保証も出来なくなる。
だからよほどのバカじゃ無きゃそんなことはしない
＃自動車の乗員しかり、トラックの積載量しかり。無限大などありえない。
Re: (スコア:0)
えっ、ハッシュ化して記録してあるパスワードと、入力パスワードを同様にハッシュ化して比較しないの？
どうせハッシュ化するんだし、パスワード長なんて関係ないと思ってたけど？
無限長とか言ってるトコ見ると、平文パスワードで保存してるの？もしかして？
Re: (スコア:0)
平文か暗号化したものを持ってるとこもあるんじゃない？
ハッシュ化は衝突がないことが保証できないので、
例えそれが2の512乗分の1という宇宙が滅びるよりあり得ない確率でも
承認しない役員がいてもおかしくない。
Re: (スコア:1)
今、（IDじゃなく）パスワードの話ししてるんだよね。
衝突してなにが困るのさ。
普通、パスワードなんて平文の状態でもいくらでも衝突するんじゃないの。「１２３４」とか。
まあ、SALT付HASHなら、衝突の確率が格段に下がるな。
Re:なぜ解決できた？ (スコア:0)
> パスワードなんて平文の状態でも
って、平文の衝突とハッシュの衝突のはなししを一緒にしたらいかんと思うよ。
ハッシュが衝突する平文を見つければ、それが正しい平文でなくても認証を突破できるってこと。
元の平文が衝突するとは、まったく別の問題。