"valengino46" ha scritto:
Buongiorno... apro questo 3D riguardo la sicurezza di GeoLive

Ho notato, mio malgrado, che cambiando la mia password, il
SERVER di GeoLive ha rimandato indietro in "chiaro" la mia
nuova password al mio Browser.

Questa è una procedura NON consigliata, e... poter vedere in
"chiaro" la password rappresenta una minaccia informatica.

...


Consiglio Jarod di usare la procedura piu' sicura da oggi in
poi, ovvero di NON memorizzare la password su nessuna
variabile e neppure "rimandarla" indietro sul browser.

Solo "salvandola" sul DB come MD5 o algoritmi superiori.

"valengino46" ha scritto:
Buongiorno... apro questo 3D riguardo la sicurezza di GeoLive

Ho notato, mio malgrado, che cambiando la mia password, il
SERVER di GeoLive ha rimandato indietro in "chiaro" la mia
nuova password al mio Browser.
****

"jarod" ha scritto:



Mi dispiace contraddirla ma non è esatto, il "link" che arriva via email sembra "in chiaro", ma una volta cliccato lato server ho configurato le cose in maniera che qualunque link di tipo http venga rediretto sul corrispondente https, quindi in realtà quando atterra su Chrome / Edge / Etc... è già sotto https (basta verificare e si accorgerà che vedere prima dell'indirizzo il simbolo del lucchetto), quersto significa che OGNI comunicazione tra browser e server avviene su un canale cifrato dal certificato SSL installato per geolive.org.

Detto questo, la password non è memorizzata in chiaro sul DB (come più volte ho detto in passato), ma è storicizzato invece solamente il suo valore di hash usando un algoritmo di Hashing sicuro sin dall'inizio. Per questo motivo non c'è mai stato un sistema di recupero password che consentisse di farsi arrivare via email la password precedente, perché semplicemente è un'informazione che noi non teniamo. La password passa dal browser a server il tempo necessario affinché lato server possa essere usata solo per ottenere l'hash e scartata.

L'algoritmo di hashing usato non è ovviamente l'MD5 (ma non dirò quale, proprio per questioni di sicurezza), ringrazio ad ogni modo @gauss-boaga del consiglio, ma come può leggere era decisamente superfluo, anche se apprezzo l'interessamento

"gauss-boaga" ha scritto:


****

E la password appare in Chiaro "QUI" sul mio browser. Fai una Prova!!!

Se il mio Browser NON legge la nuova PSWRD dal Server... Da dove la legge?
Magari sbaglio... Ma dove sbaglio (io me medesimo) ?



G.B.

"gauss-boaga" ha scritto:
Penso di aver capito, ma non esattamente tutto (sarà una banalità mia personale) perchè... "rimandare" indietro la password in chiaro al browser (fosse pure la stessa pagina PHP) con la frase:

....