¡Eran otros tiempos! Hace 10 años cualquier red social era más informal y distendida de lo que son ahora. Los trolleos eran simpáticos, se captaban las ironías, etc. Había que venir llorado de casa . Y las disputas más salvajes se solventaban en las quedadas, ¿recuerdas?
Ha cambiado mucho. Las redes sociales se usan para ofenderse, nadie entiende el sarcasmo ni el humor negro, y los trolleos "benignos" han degenerado en campañas de acoso y boicot. La autocensura limita la difusión de ideas controvertidas...
Menéame ya no es lo que era (de hecho, Menéame nunca fue lo que era)
@anacard@gallir
> El segundo salt podría estar incrustado directamente en el código fuente (mala práctica) o tomarse a partir de archivos de configuración
- el salt tiene que ser distinto para cada usuario, o no funciona. Si usas el mismo salt, es contraproducente.
- si tienen acceso a tu db de usuarios puedes asumir que también tienen acceso a la app. El código fuente, o la config, estarán en memoria.
> Seguramente en rendimiento no merece la pena, pero quería plantear el escenario de que el atacante sólo tuviera acceso a una parte del salt.
El salt es algo público, casi por definición. La idea es que el hash y el salt son públicos y conocidos, mientras que el password es secreto y es (casi)imposible de deducir a partir del hash y el salt.
@anacard@gallir sobre guardar el salt en otra db. Cuantos más factores añadas, mejor. Pero:
- Desventaja 1: No añade seguridad.
Se asume que alguien que ha accedido a tu base de datos de contraseñas también tiene acceso a esa otra base de datos externa. La dificultad de romper las claves es la misma, por lo que la ventaja 1 desaparece.
Idem para sistemas que calculan otro factor "secreto" a partir de los datos de usuario (base64 del email, md5 de la fecha de creación, etc). Se asume que el código se filtra.
- Desventaja 2: Rendimiento y complejidad.
Si para validar cada usuario tienes que acceder y cruzar datos de varios sitios, el rendimiento empeora. Si usas un slow hash (PBKDF2), ya es bastante lento como para añadir más pasos.
En todo caso, el artículo se centra en cómo mitigar daños cuando la db de usuarios se ha filtrado. Lo que tú propones es cómo evitar que el atacante se haga con los datos, y sobre ese tema da para otro artículo igual de largo.
¿Alguien me puede enlazar a alguna "prueba" de que, en "la cultura catalana", las semanas comienzan en lunes y no en domingo? Sé que la pregunta suena rara, pero bueno.
@sao ¿por engañar cambiándose el nick? El lector medio de Menéame ni está registrado ni, ni muchísimo menos, mira los nicks de los usuarios que han enviado las noticias. No me hagas reír, por favor.
¿O acaso decides votar o no una noticia según quién la ha enviado? ¿Es eso?
@yoma a mí por lo general no me gustan, pero me gusta que todos (de todos los lados) tengan libertad para hacerlas.
Ergo, no me gusta que se intente silenciar a la gente que hace proclamas en general, y ni muchísimo menos me gusta que se intente silenciar solamente a una parte con cierta ideología.
@DrXoomg estamos hablando de proclamas políticas. Él ha dicho que se le ha baneado por hacer proclamas políticas. Sin embargo, eso es algo que veo aquí a diario (y bien sano que es).
@kopra falacia del hombre de paja. @DrXoomg yo no tengo a nadie a quien denunciar. Me gusta el trolleo agradable, las gracietas, esas cosas. ¿De qué va a servir un ban de todos modos, si se va a registrar de nuevo cuando quiera? Sólo digo que últimamente parece que se tiene el dedo del ban muy flojo dependiendo de quién.
@yoma aquí a los trolls solo se les respeta (e incluso se les venera) si son in-house, es un lastre que lleváis años arrastrando y del que no os vais a librar tan fácilmente, pareciera.
O todos moros o todos cristianos.
Hola, ¿por qué se ha baneado a @EL-PSOE-NOS-HA-ARRUINADO?
No logro encontrar nada en sus comentarios ni notas que sea motivo de ban, a ver si alguien me lo puede explicar, por favor.
Me gusta Menéame por la inteligencia de sus usuarios. www.meneame.net/c/10570897
(Que conste que me refiero a la de los votantes que han hecho que el comentario se ponga gris)
¡Eran otros tiempos! Hace 10 años cualquier red social era más informal y distendida de lo que son ahora. Los trolleos eran simpáticos, se captaban las ironías, etc. Había que venir llorado de casa
Ha cambiado mucho. Las redes sociales se usan para ofenderse, nadie entiende el sarcasmo
Menéame ya no es lo que era
> El segundo salt podría estar incrustado directamente en el código fuente (mala práctica) o tomarse a partir de archivos de configuración
- el salt tiene que ser distinto para cada usuario, o no funciona. Si usas el mismo salt, es contraproducente.
- si tienen acceso a tu db de usuarios puedes asumir que también tienen acceso a la app. El código fuente, o la config, estarán en memoria.
> Seguramente en rendimiento no merece la pena, pero quería plantear el escenario de que el atacante sólo tuviera acceso a una parte del salt.
El salt es algo público, casi por definición. La idea es que el hash y el salt son públicos y conocidos, mientras que el password es secreto y es (casi)imposible de deducir a partir del hash y el salt.
- Desventaja 1: No añade seguridad.
Se asume que alguien que ha accedido a tu base de datos de contraseñas también tiene acceso a esa otra base de datos externa. La dificultad de romper las claves es la misma, por lo que la ventaja 1 desaparece.
Idem para sistemas que calculan otro factor "secreto" a partir de los datos de usuario (base64 del email, md5 de la fecha de creación, etc). Se asume que el código se filtra.
- Desventaja 2: Rendimiento y complejidad.
Si para validar cada usuario tienes que acceder y cruzar datos de varios sitios, el rendimiento empeora. Si usas un slow hash (PBKDF2), ya es bastante lento como para añadir más pasos.
En todo caso, el artículo se centra en cómo mitigar daños cuando la db de usuarios se ha filtrado. Lo que tú propones es cómo evitar que el atacante se haga con los datos, y sobre ese tema da para otro artículo igual de largo.
¿O acaso decides votar o no una noticia según quién la ha enviado? ¿Es eso?
Ergo, no me gusta que se intente silenciar a la gente que hace proclamas en general, y ni muchísimo menos me gusta que se intente silenciar solamente a una parte con cierta ideología.
JAAAAAAAAAAAAAAAAJAJAJAJAJAJAJAJAJAJAAAAAAAAAAAAAAAAAAAAAAAAJAJAJAJAJAJA.
Aquí las proclamas políticas solo nos gustan de un lado, ¿no?
@DrXoomg yo no tengo a nadie a quien denunciar. Me gusta el trolleo agradable, las gracietas, esas cosas. ¿De qué va a servir un ban de todos modos, si se va a registrar de nuevo cuando quiera? Sólo digo que últimamente parece que se tiene el dedo del ban muy flojo dependiendo de quién.
O todos moros o todos cristianos.
No logro encontrar nada en sus comentarios ni notas que sea motivo de ban, a ver si alguien me lo puede explicar, por favor.
www.meneame.net/story/muere-bebe-15-dias-amputaron-clitoris
www.meneame.net/c/10570897
(Que conste que me refiero a la de los votantes que han hecho que el comentario se ponga gris)