Názory k článku Půldruhé miliardy ukradených hesel? Spíše podvod kolosálních rozměrů

To s tím přece nesouvisí. Problém je v tom, že uživatel poskytne svůj e-mail a heslo k němu třetí osobě - a je jen na libovůli té třetí osoby, zda ty informace zneužije nebo ne.

Trochu jiný scénář u laiků.
Často si zřizují účet dejme tomu e-shop.
Většinou jméno jméno, adresa, ...váš mail ___a teď POZOR!!! - heslo.
Víte co udělá většina IT laiků?
Tušíte? Ano, zadá heslo své mail-adresy ;-)
Hezký den.

Uživatel by se dál přihlašoval heslem. Heslo se zahashuje se jménem serveru (a teprve tenhle hash se při registraci dozví server a má jej uložený). Pak se tento hash zahashuje ještě jednou výzvou, kterou poslal server, a výsledný hash se pošle přes síť. Podle něj server uživatele ověří. Přihlášení tímhle způsobem už v HTTP standardu je, je to metoda HTTP digest, nebo existují jiné metody založené na stejném principu. Navíc je takhle autorizován každý HTTP požadavek na server, takže není problém s únosem session. Akorát že reálná podpora v softwaru je všelijaká. Ale hlavně úplně chybí podpora pro odhlašování, a podpora pro registraci účtů - takže i když se používá HTTP digest pro přihlášení, pro registraci účtu se používá obyčejný formulář, heslo putuje v otevřeném tvaru přes síť a server si s ním může udělat, co se mu zlíbí.

"Teď už jen můžeme začít uzavírat sázky, kolik lidí jim něco takového svěří" Mě by zajímala ta statistika :)

Proto většina aplikací neukládá heslo ale jen jeho hash.

To je zvláštní, jak lidé někomu dají heslo, a pak se strašně diví, že to heslo má a může ho třeba poslat e-mailem. Neměli by se spíš divit, proč mají někomu vůbec to heslo dávat? Proč v roce 2013 neexistuje webový standard, který by umožňoval vytvářet přihlašovací údaje a následně se přihlašovat bezpečným způsobem? Neustále se řeší únosy session a hashování hesel v databázi, přitom technické řešení by bylo tak jednoduché…