Ob das reicht?

[madduck]

Ja, ich finde auch, daß GitHub und Twitter richtig reagiert haben, aber das entschuldigt für mich nicht, daß sie die Passwörter von Anfang an scheinbar falsch erhoben haben. Die gehören nämlich einfach nicht auf das Kabel…

[p4m]

madduck schrieb:
--------------------------------------------------------------------------------
> Ja, ich finde auch, daß GitHub und Twitter richtig reagiert haben, aber das
> entschuldigt für mich nicht, daß sie die Passwörter von Anfang an scheinbar
> falsch erhoben haben. Die gehören nämlich einfach nicht auf das
> Kabel…

Passwörter in gehashter Form in Logs kann meinetwegen als Versehen durchgehen. Die Speicherung in lokalen Logs ist hier nicht der Kern. Viel eher, wie Du schon sagst, dass die Passwörter da überhaupt im Klartext ankamen. Das sollte schon zu denken geben.

[Leseratte10]

Wie, "dass die Passwörter im Klartext ankamen"? Wie denn sonst? Challenge-Response-Verfahren macht kaum ein Anbieter. 99.9 % der Webseiten werden das Passwort über HTTPS übertragen und dann auf dem Server hashen, dann vergleichen mit dem gespeicherten.

Und die typische Antwort auf sowas "dann hasht halt auf dem Client" bringt auch nix, denn dann ist der Hash das Passwort und kann abgefangen werden.

[madduck]

Schau Dir mal die FIDO Allianz an, bzw. UAF. Oder https://keyp.io. Passwörter haben ausgedient und Benutzerkonten hoffentlich auch.