on
จากที่ข่าวเดิมผมได้ระบุไปว่ารหัสผ่านได้ถูกเข้ารหัสแบบทางเดียว (hash) ไว้ ปรากฎว่าเป็นความเข้าใจผิด เนื่องจากต้นฉบับอีเมลใช้คำว่า "เข้ารหัส" ไว้เฉยๆ แต่ผมอนุมานไปเองว่าเป็นแบบทางเดียว โดยอันที่จริงแล้วรหัสผ่านชุดเก่าถูกเข้ารหัสไว้แบบสองทาง อย่างไรก็ตามสำหรับระบบใหม่ที่ทาง THNIC ปรับปรุงได้เปลี่ยนระบบการจัดเก็บรหัสผ่านเป็นแบบทางเดียวเรียบร้อยแล้ว
ทั้งนี้ไม่มีรายงานว่ากุญแจ (key) ของรหัสผ่านชุดเดิมถูกนำออกไปด้วยหรือไม่อย่างไรครับ
ที่มา - อีเมลจาก THNIC
อ้าว!! หมดกัน..
blackdemon Fri, 13/07/2012 - 13:42
อ้าว!! หมดกัน.. คงโดนถอดดูหมดแล้วแหงมๆ
เข้าถึง db ได้ คงไม่ยากอะไรที่จะหา key อ่ะนะ
ก็ไม่แน่เสมอไปครับว่าได้ข้อมู
music7up Fri, 13/07/2012 - 14:36
In reply to อ้าว!! หมดกัน.. by blackdemon
ก็ไม่แน่เสมอไปครับว่าได้ข้อมูลจาก db แล้วจะหา Key ได้ เพราะ Key เขาก็เก็บเอาไว้ที่ File config ถ้าจะเอา Key ก็ต้อง Hack ตัว Web Server ให้ได้ก่อน แต่ถ้า Hack web server ได้ ก็ไม่จำเป็นที่จะต้อง hack db ครับ ก็เขียนโปรแกรมขึ้นมาใหม่แล้ว query ออกมาทางโปรแกรมเลยดีกว่า
ถ้าโดนแค่ SQL injection เฉยๆก็น่าจะได้แต่รหัสผ่านไป
brute force ทีเดียวเพื่อหา
pittaya Fri, 13/07/2012 - 17:54
In reply to ก็ไม่แน่เสมอไปครับว่าได้ข้อมู by music7up
brute force ทีเดียวเพื่อหา key จากนั้นก็ถอดได้ทั้ง db ครับ
แต่ยังไงผมก็มองไม่เห็นว่า
umtapao Fri, 13/07/2012 - 14:51
แต่ยังไงผมก็มองไม่เห็นว่า ทำไมต้องใช้วิธีเข้ารหัสสองทางครับ (ถ้าผมเข้าใจไม่ผิด การเข้ารหัสสองทาง หมายความว่า สามารถถอดรหัสกลับมาได้) เพราะไม่มีความจำเป็นสำหรับกรณีการเข้ารหัส Password ครับ
จากที่เคยใช้งานนะครับ
music7up Fri, 13/07/2012 - 19:07
In reply to แต่ยังไงผมก็มองไม่เห็นว่า by umtapao
จากที่เคยใช้งานนะครับ ผมเดาเอาว่า THNIC นั้นเกิดมานานพอสมควร ระบบที่ใช้เรียก Password กลับคือมานั้นจะใช้วิธี ย้อน รหัสกลับมาแล้วส่งให้ user ครับ ถ้าทำแบบนี้จะลดขั้นตอนของการเขียนโปรแกรมให้ทำการ Reset password ใหม่ น่าจะเป็นระบบเก่าที่ทำมานานแล้วละครับ
มันมีวิธีการ authenticate
ipats Sat, 14/07/2012 - 04:19
In reply to แต่ยังไงผมก็มองไม่เห็นว่า by umtapao
มันมีวิธีการ authenticate ที่จำเป็นต้องใช้รหัสดั่งเดิม (หมายถึงรหัสที่แท้จริง จะเข้ารหัสหรือไม่ก็ได้ แต่ต้องย้อนกลับมาหาตัวเดิมได้ครับ) เช่น ใช้เพื่อส่ง "ลายเซ็น" แทนรหัสผ่านในสื่อที่ไม่ได้เข้ารหัสครับ
ตัวอย่าง ผมล็อกอินเว็บไซต์ที่ไม่ได้ใช้ SSL ปกติ รหัสผ่านผมก็จะถูกส่งไปแบบ clear text , แต่ก็จะมีบางเว็บ ใช้วิธีว่า ส่ง salt มาให้ browser ผม แล้วมันก็จะคำนวณ hash จาก password ที่ผมป้อนบวกกับ salt ที่ได้รับมา แล้วส่งกลับไปยัง server ตัว server ก็จะเทียบ hash ที่ส่งมาจาก browser กับ hash ที่ server คำนวณได้ด้วยวิธีนี้ ทำให้ไม่ต้องใช้ SSL เพื่อป้องกันรหัสผ่านรั่ว คร่าวๆ ทำนองนี้ครับ (ซึ่งวิธีนี้ ต้องใช้รหัสผ่านดั่งเดิม เพราะต้องเอามา hash กับ salt ที่สร้างขึ้นมาใหม่เรื่อยๆ)
รายละเอียดลองดูใน http://en.wikipedia.org/wiki/Challenge-response_authentication หรือใน http://en.wikipedia.org/wiki/Digest_access_authentication ครับ
ว่าละ เดาไม่ผิดจริงๆ
UltimaWeapon Fri, 13/07/2012 - 17:02
ว่าละ เดาไม่ผิดจริงๆ
"ทั้งนี้ไม่มีรายงานว่ากุญแจ
EThaiZone Fri, 13/07/2012 - 19:34
"ทั้งนี้ไม่มีรายงานว่ากุญแจ (key) ของรหัสผ่านชุดเดิมถูกนำออกไปด้วยหรือไม่อย่างไรครับ"
... ยินดีกับบางท่านด้วย (ประชดครับ ไม่ได้ยินดีจริงๆ)