สั้นๆ แฮชรหัสผ่าน ไม่ใช่ตัวรหัสผ่านเองครับ ปกติจะไม่มีทางถอดกลับมาเป็นรหัสผ่านดั้งเดิมได้ครับ

แต่กระนั้นก็ตาม ในแง่ด้านความปลอดภัยไม่ควรไว้วางใจในระบบงานใด ไม่ควรจะใช้รหัสผ่านซ้ำกันครับ คือต่อให้หลุดไปก็เอาไปใช้งานที่อื่นๆไม่ได้ เช่น Facebook, Blognone, Wongnai, Google, ฯลฯ เพราะเราไม่เคยใช้ซ้ำกับบริการอื่นๆ

โดยเฉพาะอย่างยิ่ง email หลัก หรือบริการที่อนุญาต ควรต้องทำ Multi-Factor Authentication เพิ่มขึ้นด้วยครับ

Hash: ไม่รู้ว่ามันคืออะไรแต่มันใช่ - Blognone.com

ผมเห็นแค่ของ Eatigo ว่าเป็นข้อมูลเก่า .. ส่วนฝั่ง Wongnai ไม่มีบอกข้อมูลส่วนนี้เลย

An Eatigo spokesman told ST that the information was from an old database that was last updated in 2018 and is no longer in use.

ถ้าข้อมูลจากข่าวนี้ถูกต้องว่ารหัส Hash ด้วย MD5 คิดว่าไม่ต้องรออีกหลายปีครับ

https://www.bleepingcomputer.com/news/security/hacker-is-selling-34-million-user-records-stolen-from-17-companies/

ข้อมูลใหม่ก็อาจจะถูก Hack ไปแล้วก็ได้ (แค่ยังไม่ได้เอาไปขาย)

สรุปมันก็คือรหัสผ่านเข้ารหัสที่รอวันถูกถอดรหัสหรือไม่

hash ถอดย้อนกลับไม่ได้ครับ มองง่ายๆ hashed password คือ ชุดข้อมูลไว้ตรวจสอบ(validate) เมื่อเราเดารหัสมั่วๆ มันจะมีตรงกันบ้างไหม

(อธิบายแบบ oversimplified) วิธีง่ายสุดที่ใช้แพร่หลายคือการ brute force ต้องใช้พลังประมวลผลสูง, สุ่ม string มาซักอันเอาไปเข้า hash function เดียวกัน จากนั้นเอาค่า hashed ที่ได้มาเทียบ collision ว่ามีตรงกันไหมกับฐานข้อมูลที่หลุดออกมา ถ้าตรงก็แสดงว่า string นั้นคือค่าตั้งต้นของ hashed นั้นๆ ... แต่ก็ไม่ได้หมายความว่า string จะเป็น password เสมอไป

ปกติในระบบออกแบบไว้ดี เวลา hash password ต้องใส่ salt (คำลับ) ไปผสมเสมอ เหตุเพื่อถ้า hashed password หลุดแต่ salt ไม่หลุดโอกาศโดนเทียบแล้วย้อนเป็นรหัสผ่านจริงๆได้ก็น้อยลง แต่ก็ไม่แน่เสมอไป บางที salt หลุดด้วยก็จบเลย

ซึ่งอาจจะเป็นไปได้ว่ามันถูกถอดแล้ว หรืออาจจะอีกหลายปีข้างหน้าหรือไม่

ขึ้นอยู่กับ algorithm ที่ใช้ด้วยครับ ถ้าเก่าๆอย่าง md5 ประสิทธิภาพเครื่องในปัจจุบัน เช่า multi cpu บน cloud ช่วยประมวลก็ใช้เวลาไม่นานแล้ว หลักเดือนหรือไม่ถึงสิบปี (md5 มีคำแนะนำให้เลิกใช้มาตั้งแต่ 12+ ปีที่แล้ว)

แต่ค่าที่ถูกถอดออกมาจะใช้รหัสตั้งต้นจริงๆไหมก็ไม่เสมอไป อยู่ที่ระบบออกแบบดีแค่ไหน ปกติเหตุการณ์แบบนี้เกิดขึ้นให้เปลื่ยนรหัสเสมอครับ เพราะไม่รู้ว่าคนมีข้อมูลทำอะไรไปถึงไหนแล้ว

โดยทั่วไป ข้อมูลบัตรเดรดิตรั่ว ถ้ารั่วแบบครบ 16 หลัก อาจโดนแอบอ้างเอาไปใช้งานซื้อสินค้าออนไลน์ได้ ซึ่งแย่แน่นอน

ส่วนเรื่อง ค่าแฮชรหัสผ่านหลุด ขึ้นกับความสำคัญของระบบที่หลุด เพราะมันมีความเสี่ยงที่คนร้ายยังมีโอกาศที่จะสวมบัญชีได้ และถ้าระบบสำคัญมากๆ เกี่ยวกับเงินๆทองๆ ก็อาจจะร้ายแรงกว่าก็เป็นได้

ปกติแล้วเว็บไซต์ทั่วๆไป เก็บหมายเลขบัตรเครดิตไว้เองได้เหรอครับ
ผมนึกว่าเก็บไว้แค่ไม่เกิน 4 หลัก คู่กับ Token แต่หมายเลขบัตรเครดิตฉบับเต็มอยู่บน Payment Gateway ที่ได้ PCI DCC
แล้วเว็บไซต์ทำหน้าที่ส่ง Token ไปขอตัดยอดเงิน

+1024
น่าเกลียดมากเลยแบบนี้

เรียนคุณ s4535065

ตอนนี้ทางทีมงานได้แก้ไขตามคอมเมนต์เรียบร้อยแล้วครับ

ถ้าไม่ใส่เกลือก็ตารางสายรุ้งกันง่ายๆ เลย

ผมไม่ได้เมลแจ้งเตือนนะ

ไม่รู้ว่าเกี่ยวกับ log in ด้วย facebook รึเปล่า

จำเป็นด้วยเหรอครับ?

token พวกนี้หลุดปรกติจะเข้าถึง account เหล่านี้ได้จำกัดตาม permission ที่เรา allow ไว้ครับ ไม่มากไปกว่าน้น ฉะนั้นเอาไปถึงขนาดปลอมแปลง facebook login ไม่ได้หรอก วิธีที่แก้ไขก็แค่ไป revoke แล้ว grant ใหม่เท่านั้นก็จบ