Предлагам да се добави възможност за логване чрез OpenID! В момента, въведените потребителско име и парола се изпращат къмто сървъра през некриптирана връзка, което в днешно време е рисковано. Предлагам по примера на големите (MS, Google, Yahoo, SorceForge, VeriSign и др.) да добавите възможност за логване чрез OpenID идентификация. И за потребителите ще е по-удобно, и за нас ПАРАНОИЦИТЕ, ще е по-спокойно

www.bgid.eu - Българският OpenID сървър

Предлагам да се добави възможност за логване чрез OpenID! В момента, въведените потребителско име и парола се изпращат къмто сървъра през некриптирана връзка, което в днешно време е рисковано. Предлагам по примера на големите (MS, Google, Yahoo, SorceForge, VeriSign и др.) да добавите възможност за логване чрез OpenID идентификация. И за потребителите ще е по-удобно, и за нас ПАРАНОИЦИТЕ, ще е по-спокойно

www.bgid.eu - Българският OpenID сървър

Пълна поддръжка на OpenID ще има във третата версия на IPB, която в момента все още е в статус на разработване. Дали ще бъде активирана за форума, това е друг въпрос.

Иначе, относно некриптираната връзка / наистина параноята те гони. IPB hash на паролата е в следния формат:

MD5(MD5(SALT_VALUE) concat MD5(password))

В допълнение, не зная дали, но предполагам, че и в момента е акивирана опцията за допълнителна защита "Stronghold cookies", която допълнително прави кражбата на "cookie" невъзможна.

Invision Power Board 2.2.0 introduces a 'stronghold' cookie. This cookie is saved alongside the member log in key and contains very specific information about the computer that's being used to access the forum. A stronghold cookie will not work on another computer or even for another user. This means that even if a hacker had your cookie information they would be unable to log in as you because the stronghold cookie check will prevent that.

Furthermore, IPB 2.2.0 also takes advantage of "HTTP Only" cookies to prevent javascript from accessing sensitive cookies. This will make it much harder to gain a member's log in cookies and increases security against XSS attacks.

С други думи казано / лей бек енд релакс...

Редактирано 17 юли 200817 г. от proletsearch (преглед на промените)