社工库维护者为网站提供用户注册密码安全检测服务，靠谱么
合适么?我注册一个网站的时候.还要把密码提交给一个第三方机构做一遍验证,那第三方机构的安全谁来监管?而且只发送密码不发送帐号的话,那意义何在?我估计大多数密码都不能使用了吧!如果发送了帐号的话,那安全问题谁解决?等于我的帐号密码不仅网站知道,你做为第三方机构也知道.出发点是为了安全,结果导致更不安全了.而且比如说我的加密是带盐的,那我是发送带盐的hash给你还是不带的?不带的话,那我网站还加盐干嘛?你帮我存储了一份不带盐的?那黑客以后不用去搞站了,只要搞这种第三方机构就好了.可以制作一个弱口令top1000的hash列表,提供给这些网站做比对,如果密码是属于这个列表的,那么提示口令太弱.这种服务必须本地化,要不然没有哪家网站敢出来试死!
■网友
仔细想了一下，这种服务是万万用不得的。1. 重放攻击 Client Server Database+----------+| password | -- SSL --\u0026gt; hash() ----\u0026gt; query(hash)+----------+ | check() \u0026lt;--- result服务器向彩虹表服务器提交的查询数据仅仅为一段Hash码，不包含任何明文信息。这种情况下彩虹表服务器如果想brute-force的话效率是不会提高的。但是请注意，如果你的登陆验证的hash过程是在客户端进行的，服务端没有将信息处理过就传输到第三方验证，这时就有可能出现重放攻击。攻击者如果同时将hash和登陆信息关联了起来就可以构建一个有效的登陆包递交给服务器。 Client Server Database+------+| hash | --\u0026gt; redirect --\u0026gt; query(hash)+------+ | | | check() \u0026lt;--- result | login | info | | |Attacker \u0026lt;------------------------++-------+| hash || + | --\u0026gt; login yes| login || info |+-------+2. 允许大量的弱密码相对于重放攻击，这种攻击出现的可能更大。如果第三方在表中找到了一个hash的值，它就拥有了决定一个弱密码是否被准予使用的权力。如果说第三方谎报大量弱密码的检测结果，这个网站就会存在很多的弱hash。一旦网站的数据库泄露，用户的信息安全就会受到威胁。总结来说，这种服务所拥有的控制权力太大，很有可能被人拿来作恶，如果这个第三方服务对任何查询都准予放行，那这种安全措施岂不是形同虚设？-----------------------其实现在强力的hash有很多，何必纠结已经软弱不堪的md5？你大可以选择像SHA-2这类的算法，如果仍不放心可以学Bitcoin那样RIPEMD(SHA(SHA(passwd)))
■网友
【社工库维护者为网站提供用户注册密码安全检测服务，靠谱么】 不安全
■网友
多谢你们为字典添砖加瓦
■网友
lastpass就有这种密码安全检测服务,这么说来也不安全了?
推荐阅读
- 有啥方法，网站，项目可以自己练习计算广告学
- 设计专业学生上传自己的作品，用哪个网站比较好
- 大学要开始查文献le，求问有哪些中英文的文献网站或下载工具（最好是医药，生命科学类的），多谢啦?
- 电商网站支付流程的流失率是怎么样的从用户点击充值/支付按钮，到支付完成，其中每一步的流失比率都是咋样的
- 能否推荐一个能用快播看电影且电影都是中英双字幕的网站
- 浏览器突然上不了百度
- 咋自己发布网站
- 有没有网站能够搜出我给的类似风格图片的网站
- 类似“斗鱼tv 熊猫tv”的国外直播网站有哪些
- 游戏公司怎样招聘到SEO推广经理?