26 Jul 2011


Разделы: Новости Интернет it

Мне очень хотелось написать о чем-то на этой неделе - скажем, о том, как VMware стремится дробовик на ноги со своей новой схеме лицензирования, - но моя последняя две должности ("Пришло время, чтобы сделать бедных кодирования уголовное преступление» и «Почему виновных в плохой код должен платить ") взяли на себя свою собственную жизнь.

Я до сих пор завалены мнениями со всех сторон в этом вопросе привлечения к ответственности за данные о клиентах утечек. Сначала эти комментарии были в основном негативными, но поле расширился. На данный момент, так как многие люди, похоже, согласны со мной, как думают, что я сумасшедший или не очень яркие. Насколько я могу судить, большинство, что последний лагерь либо на самом деле не читали мои посты или на самом деле же развитие менеджеров, которые утверждают и нажмите продукции с вопиющим дыры в безопасности в их основе.



По сути, эти две должности, которые собрали так много внимания, что я собираюсь работать "живая" Twitter разговор о данной теме на четвергу, 28 июля 2011, от 2 до 3 вечера по восточному. Мы будем использовать хэштэг # acctablecode, так что если вы хотите быть частью дискуссий, запустите вашего щебетать клиент выбора и окапываться

Как это обсуждение рулоны на, позвольте мне предоставить конкретный пример того, что я говорю от уровня земли перспективу. Рассмотрим эти два MySQL запросов образцов (предположим, входных переменных были санитарной обработке):

SELECT ID, электронная почта, Passwd, статус, во-первых, последние ИЗ пользователей, где электронная почта = '$ sessemail "И Passwd = SHA1 ('".$ form_password ."');

SELECT ID, электронная почта, Passwd, статус, во-первых, последние ИЗ пользователей, где электронная почта = '$ sessemail "И Passwd ='" $ form_password.. "';

Единственное различие между этими двумя запросами в том, что в первую очередь использует SHA1 хэширования на пароль и второй нет. При использовании SHA1 хэш пароля не будет гарантировать, пароль и не может быть взломана, это делает ее гораздо труднее, кто работает с дамп этой базы данных, чтобы получить точное пароль. Даже если это потребовалось всего 10 секунд, чтобы соответствовать SHA1 хэш пароля страшной, как "MyPassword", вы по-прежнему удлинение времени требуют раскрыть пароль пользователя на 10 секунд, текстовый эквивалент, который равен нулю секунд. Умножьте это 10 секунд, тысяч или миллионов паролей в базе данных под угрозу, и вероятность того, что широко распространенная проблема кражи личных данных, вытекающих из одного подвергаются базы данных резко снижается.






Метки: it
Рубрики: Новости Интернет it

 Имя       

Ограничение в 1000 символов
Введите ваш комментарий

Введите код