"A jelszó legfeljebb 8 karakter hosszú lehet"

Persze, mert aki szarik bele az egészbe (=szinte mindenki, aki nem informatikus, de sokan közülük is), azok nem gondolnak bele ilyenbe, azoknál egyszerűbb így kikényszeríteni.

----------------
Lvl86 Troll, "hobbifejlesztő" - Think Wishfully™

Uh, a DiákhitelDirekt is ilyen. Ráadásul sehol nem írják le, mi kell nekik, csak miután elküldted a formot, jön a hibaüzenet, hogy még rakjál bele ezt is, meg azt is. Meg ne legyen ugyanaz, mint amit két éve használtál (na, erre viszont kíváncsi lennék, hogy vajon hash alapján mondják meg, hogy te ezt a jelszót már használtad, vagy plain textben van az egész.)

De ezt a „HorseStapleCorrectTrumpet” sosem értettem. Vagy nekem nagyon erős logikai csúsztatásnak tűnik, hogy az xkcd-s szerző elfeledkezik arról, hogy ez négy szó, s akkor máris nem 2^44, hanem csak x^4 a variációk száma.
--
blogom

A sohasem alvó banknál meg épp, hogy mindegy a kis/nagy betű...

Annál biztos, mert valószínűleg minden valamire való dictionaryben benne van :)

klasszik

http://xkcd.com/327/

http://imgs.xkcd.com/comics/exploits_of_a_mom.png

Konkrét példák, amivel szívtunk:

Adott egy webshop, SHA1-el tárolt jelszavakkal. Adott egy ERP rendszer, utólag lett a webshop mögé rakva. Az ERP rendszer képes kezelni az összes regisztrációval kapcsolatos dolgokat, adott volt a teljesen jogos igény, hogy szükség esetén onnan is tudjanak az userek jelszót változtatni. Az ERP rendszer egy 3rd party fejlesztés, nem tudunk (és még inkább: nem is akarunk) belenyúlni. Az ERP rendszer MD5-tel titkosítja a jelszavakat.

Ezt a problémát még sikerült abszolválni azzal, hogy ha az ERP-ben változott utoljára a jelszó, akkor átvesszük az MD5-ös hasht és azt is elfogadjuk, ha nem SHA1-es hash van. (Szerencsére ugye a CHAR(40) mezőbe belefér.)

Következő challenge: hozzánk került egy másik cég adatbázisa, szerencsére ugyanazt az ERP rendszert használták, így az átvétel nem okozott nagy nehézséget. Persze, meg kellett oldani, hogy elfogadjuk a másik rendszer régi jelszavát is. Ha valami számunkra ismeretlen módon lett volna sózva vagy rendszerenként tök egyedi módon, vagy egyedi sóval (anélkül meg mi értelme, ugye...), neadj'isten valamilyen cégadattal, licenckulccsal összefüggő módon, a feladat határozottan nehezedett volna.

...ééés ami meg is történt. Másik cég, webshopjukból kellett volna adatokat átvenni. A webshop egy szolgáltatásként árult termék, kódját a büdös életben nem láttuk, egy db dumpot kaptunk, ahol sóvzva, keverve-kavarva voltak a jelszavak. Szerencsére a rendszer fejlesztői elérhetőek voltak és voltak olyan jó fejek, hogy elmondták a pontos metodikát, így újra tudtuk implementálni.

Végeredmény? Weboldalunkon 4 féle módon fogadunk el jelenleg jelszavakat. Megoldható volt, csak annyira nem szép.

Viszont ha nem saját webshopunk lenne, hanem teszem azt az ERP rendszerhez megvásárolható webshop rendszert használnánk, a feladat nagyjából a megoldhatatlan kategória lenne a második esetben. Vagy akár akkor is, ha a saját webshopunkról akarnánk átállni. Mert az ERP fejlesztőinek nem érdekük ilyen egyedi gányolásokkal hátráltatni a saját munkájukat.

Persze, mondhattuk volna azt is, hogy regisztráljon újra a kedves vevő, csak annyira nem túl professzionális hatást keltő megoldás egy beolvadó és/vagy újraalapuló cégnél. Ezzel szemben mi van? Security szempontok, amely az ügyfél jelszavát védi az adatok kikerülése, illetéktelen kezébe kerülése esetén. Na, most itt két eset játszik:
- belső adatlopás: ha IT-s, az gáz, nyilván azonnali faszkorbács és tarkonlövés. Ha nem IT-hez tartozik... Nos, sokkal értékesebb adatokat is tud lopni mint egy jelszó listát.
- külső adatlopás: ez szintén az az eset, ahol a kikerült jelszavak lesznek a legkisebb problémánk.

Szóval szép meg jó ez az egész jelszó hashelés, csak megint érzek benne egy ordas nagy aránytévesztést. Kapcsolódó XKCD: http://xkcd.com/1200/

----------------
Lvl86 Troll, "hobbifejlesztő" - Think Wishfully™

Szerinted mondjuk a Pidgin hogyan tárolja a jelszavakat az egyes accountokhoz?
https://developer.pidgin.im/wiki/PlainTextPasswords