Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Более половины npm-пакетов могли быть скомпрометированы из-з..., opennews (?), 27-Июн-17, (0) [смотреть все] вопрос очень простой, а какого черта нет валидации при установке пароля что за , анон (?), 20:58 , 27-Июн-17, (1) +2 // Главное не переборщить, а то некоторые такую валидацию устроят, что пользователи, Аноним (-), 21:05 , 27-Июн-17, (3) +11 // Бумажка гораздо безопаснее очень многих других способов хранения А если хранить , gogo (?), 21:13 , 27-Июн-17, (8) +10 // хрен через два-три года не сможешь вспомнить, что тут записано Не благодари ну , пох (?), 00:14 , 28-Июн-17, (28) +2 Видать у тебя фантазия бурная и ассоциации к намекам нетривиальные Я лично не , gogo (?), 00:56 , 28-Июн-17, (35) –2 да нет, просто паролей - много, некоторые нужны раз в пару лет, не везде можно в, пох (?), 08:39 , 28-Июн-17, (51) –2 А что мешает пользоваться длинными, но осмысленными паролями Внезапно, в базах п, тоже Аноним (ok), 09:26 , 28-Июн-17, (57) Согласен Сам так делаю и знакомым советую , Онанимус (?), 13:39 , 28-Июн-17, (71) А зачем вообще запоминать пароли к сайтам Сгенерил, авторизовался, браузер запо, rshadow (ok), 14:33 , 28-Июн-17, (75) Интернет-банки, например, не дают браузеру запоминать логин и пароль И правильн, тоже Аноним (ok), 17:06 , 28-Июн-17, (82) +1 Пффф Просто запомните соль, которую приписываете в конце каждого своего пароля,, freehck (ok), 13:07 , 28-Июн-17, (67) Бумажка может и в бумажнике лежать И - да, лучже пароль на бумажке, который мог, YetAnotherOnanym (ok), 00:49 , 28-Июн-17, (32) +3 // камера, в той же комнате, или не в той же раз в бумажнике - значит ты предполаг, пох (?), 08:43 , 28-Июн-17, (52) –3 Как будто другие вэб-макаки бывают , Led (ok), 21:08 , 27-Июн-17, (5) +5 // Нода не совсем о вебе в привычном его понимании Скорее о веб сервисах и бекенда, Отражение луны (ok), 22:06 , 27-Июн-17, (16) +2 // Ок, признаю, был неправ Корректирую Как будто другие вэб-сервисные-не-совсем-в-п, Led (ok), 22:21 , 27-Июн-17, (18) +8 веб-макакус-илитус-нон-вулгарис, Аноним (-), 22:37 , 27-Июн-17, (20) +4 Хотел было приписать один сапиенс , но вовремя увиделчто как бы намекает , Аноним (-), 22:39 , 27-Июн-17, (22) +2 Иронизирующая илитка нарисовалась, как же хорошо Я не понимаю, зачем пытаться, Добрый анон (?), 15:26 , 28-Июн-17, (80) –3 Ну, внезапно, обычные мартышки появились тоже не просто так, правда Их сформиро, Спрашивающий анон (?), 11:00 , 07-Окт-17, (108) Ну, внезапно, обычные мартышки появились тоже не просто так, правда Их сформиро, Спрашивающий анон (?), 11:00 , 07-Окт-17, (109) Яваскрипт в рот тянут именно бывшие веберы И именно им нужна серверная часть , Аноним (-), 23:32 , 27-Июн-17, (26) +7 Я тяну яваскрипт просто потому, что это лучший язык программирования Никогда по, Аноним (-), 14:11 , 28-Июн-17, (74) –3 Чтоб понять, насколько вы адекватны и можно ли доверять вашему мнению, назовите,, Аноним (-), 14:49 , 28-Июн-17, (78) +4 Вообще-то один язык там и там - это выгодное решение по куче причин, как техниче, Crazy Alex (ok), 19:43 , 28-Июн-17, (87) –1 Большинство пользователей ноды -- веб-макаки, решившие освоить фулл-стэк И прин, Аноним (-), 10:04 , 28-Июн-17, (60) +3 kernel org месяцами лежал в maintenance, но макаки при этом npm , Anonminus (?), 00:51 , 28-Июн-17, (33) // Так это одни и теже макаки - , Аноним (-), 13:21 , 28-Июн-17, (68) Надеюсь возможность брутфорса на этом репозитарии пресекается , Аноним (-), 21:43 , 27-Июн-17, (14) –1 Это же жабаскриптеры, у них в голове при слове security ничего не возникает , Аноним (-), 02:22 , 28-Июн-17, (40) +3 Что за проверка на сложность qwertQWERT1234 Это сложный пароль или нет , mumu (ok), 05:18 , 28-Июн-17, (42) –2 // Легкий для перебора Перебирают не только посимвольно, но и сочетаниями квертей, Онанимус (?), 13:46 , 28-Июн-17, (72) +1 И что в этом не так Вполне секьюрно Сомневаюсь, что в словарях есть какой-то т, A.Stahl (ok), 21:04 , 27-Июн-17, (2) –2 // Сто лет как Банально потому что словари во многом составлены из утёкших реальны, Crazy Alex (ok), 23:21 , 27-Июн-17, (25) +1 123456 - это очень серьюрный пароль, если его правильно посчитать В базе таког, тоже Аноним (ok), 08:14 , 28-Июн-17, (48) +8 // Очень длинный пароль выходит в нём ведь 574965 цифер Задолбаешься вводить Може, freehck (ok), 13:23 , 28-Июн-17, (69) +2 Да я бы сказал, и 1234567 тоже секьюрный пароль, в шестизначной базе его нет Ка, щи (?), 13:40 , 04-Июл-17, (107) –1 npm прочел как rpm Фух Мимо , Аноним (-), 21:07 , 27-Июн-17, (4) +10 Так може они кому порулить дают и чтобы если что не оказаться виноватым - ой, , Константавр (ok), 21:09 , 27-Июн-17, (6) Кодеры пролазят в любые щели Это только начало , Аноним (-), 21:13 , 27-Июн-17, (7) И как уберечься Ну, вот допустим, хочу я поставить глобально какой-то пакет из n, Виталик (??), 21:15 , 27-Июн-17, (9) –1 // Отдельного пользователя заведи и из-под него работай , Аноним (-), 21:31 , 27-Июн-17, (11) Использовать другую платформу , Аноним (-), 22:02 , 27-Июн-17, (15) +5 В докер ту ноду вместе с её нпмами, заодно и деплой с самого начала заготовишь, Аноним (-), 22:20 , 27-Июн-17, (17) +1 Основной риск будет на твоих клиентах В библиотеки встроят XSS и все, гуляй вас, istepan (ok), 08:11 , 28-Июн-17, (47) Ну блин хоть peerflix удаляй нафиг , corvuscor (ok), 21:17 , 27-Июн-17, (10) –1 // Он у меня из нпм только и стоит, ке (?), 21:38 , 27-Июн-17, (13) –1 Краткое содержание комментариев к этой новости 1 А я говорил 2 Эти веб-макаки , Аноним (-), 21:31 , 27-Июн-17, (12) +6 // Я бы согласился со снобизмом, если бы не раздел в новости интересные факты Хо, Ordu (ok), 22:37 , 27-Июн-17, (21) +3   // или неубедительно объяснили причины а то мы все никак не соберемся озаботиться з, пох (?), 00:20 , 28-Июн-17, (29) –1   // Это палка о двух концах Чем сложнее поменять пароль, тем реже и неохотнее польз, Ordu (ok), 14:50 , 28-Июн-17, (79) +1   так менять и не надо вообще Это тоже очередной псевдо-безопасный жупел, когда, пох (?), 09:25 , 29-Июн-17, (105) –1   gt оверквотинг удален Может быть Но отсутствие практики смены паролей даст ат, Ordu (ok), 15:45 , 29-Июн-17, (106)   самое смешное что все они верны, Аноним (-), 22:31 , 27-Июн-17, (19) –1 Зачем сразу 2-факторная авторизация Неужто килобайтный ключ вместо паролей - не , Аноним (-), 22:49 , 27-Июн-17, (23) // Во-первых, двухфакторная аутентификация, а не авторизация Во-вторых, она не обя, Аноним (-), 10:55 , 28-Июн-17, (64) Гг Ребята окунулись в реальный мир До этого всё думали, что в сказку попали , pda (?), 23:16 , 27-Июн-17, (24) +1 Вот не зря ушёл с Node js и вернулся на Python , th3m3 (ok), 00:01 , 28-Июн-17, (27) –1 // А я ушел с Node js на Java Кстати, по бенчмаркам в десятки раз быстрее питона , Anonminus (?), 00:35 , 28-Июн-17, (31) –5 // Проиграл Ну хоть не php , th3m3 (ok), 01:16 , 28-Июн-17, (37) –2 // Издеваешься что ли Даже питон лучше пыха , Anonminus (?), 01:32 , 28-Июн-17, (38) –2 Чем лучше-то Они практически идентичны Типизация скрыта, управление памятью от, A.Stahl (ok), 07:57 , 28-Июн-17, (45) –2 Ты что с ума сошел это в похапе синтаксис класный Да таких укурков еще не виде, Аноним (-), 09:51 , 28-Июн-17, (59) –1 Опять проиграл Ребята, с вами и башорг ненужен , th3m3 (ok), 11:31 , 28-Июн-17, (65) –2 Астахл, я понимаю твои чувства, говорю как человек, который покинул php и попроб, Anonminus (?), 18:03 , 28-Июн-17, (84) бардак в этом плане - мелочи по сравнению с общиии бедами скриптодинамики на не , Crazy Alex (ok), 19:50 , 28-Июн-17, (88) –1 Да, не зря, раз не различаешь ноду и npm Они связаны, но не единое целое И у n, Аноним (-), 08:10 , 28-Июн-17, (46) –1 // угу, весь мир с нуля за недельку создам начиная с leftpad - весь смысл ноды-, пох (?), 09:04 , 28-Июн-17, (55) Альтернативы npm решают только огрехи в принципе резолвинга версий зависимостей , Аноним (-), 10:15 , 28-Июн-17, (61) вспомнити npm leftpad , Аноним (-), 00:22 , 28-Июн-17, (30) А что вы хотели от людей, которые возводят в ранг добродетели свою неспособность, YetAnotherOnanym (ok), 00:53 , 28-Июн-17, (34) +2 // От тебя ничего не хотим , Мы (?), 00:57 , 28-Июн-17, (36) –3 Интересно, из каких побуждений он не желает публиковать полный список Глупая от, Аноним (-), 02:06 , 28-Июн-17, (39) // Конкретных людей палить нехорошо, там же написано , Аноним (-), 19:21 , 28-Июн-17, (85) Хипсторы не умеют в it безопасность, mumu (ok), 05:14 , 28-Июн-17, (41) +4 // сказал нехипстер, сидя из-под провайдера, хранящего его трафик минимум полгод, Аноним (-), 05:46 , 28-Июн-17, (43) –1 // И сколько полугодий потребуется провайдеру, чтобы расшифровать https рафик, м , mumu (ok), 07:51 , 28-Июн-17, (44) +4 // Нисколько Они его и так незашифрованным хранят , rpm (?), 08:19 , 28-Июн-17, (49) –4 Дай угадаю, мало того, что ты хохол, ты ещё и на JS пишешь Ибо с принципом рабо, Аноним (-), 10:18 , 28-Июн-17, (62) –2 А статейка безумно полезная Прям описание группового поведения приматов Теперь, odity (ok), 08:32 , 28-Июн-17, (50) Да кому интересны эти результаты По удалял бы эти акки и дело с концом , Меломан1 (?), 08:44 , 28-Июн-17, (53) –1 // Ты ж помнишь, что после удаления аккаунта можно посоздавать модули с такими же и, Аноним (-), 10:21 , 28-Июн-17, (63) +2 А без работы всё равно ты, username , Аноним (-), 09:07 , 28-Июн-17, (56) –1 ну теперь точно вся надежда на webassemble, придут ребята с большыми ками, и, qwerty_qwert1 (?), 09:26 , 28-Июн-17, (58) +2 // Один хер инициализация на JS идет DOM опять же еще не завезли Печально пока , istepan (ok), 11:37 , 28-Июн-17, (66) +1 Всё, что надо знать о веб-разработчиках, wins proxy (?), 13:26 , 28-Июн-17, (70) Человеческая тупось безгранична , Аноним (-), 13:57 , 28-Июн-17, (73) +1 Никогда такого не было и вновь произошло, Ненужно (?), 17:25 , 28-Июн-17, (83) NPM No Password Management, anomymous (?), 19:31 , 28-Июн-17, (86) // https github com npm npm-expansions blob master expansions txt L452, Аноним (-), 21:58 , 28-Июн-17, (96) –1 А вот это просто неверный перевод И 171 Главная ссылка к новости 187 на агре, Аноним (-), 21:35 , 28-Июн-17, (89) // Вот так в оригинале Вот это додумано Перебор модификаций применялся ко всем пот, Аноним (-), 21:38 , 28-Июн-17, (90) // И что здесь додумано Ровно то, что в оригинале, with very minor modifications , Аноним (-), 21:48 , 28-Июн-17, (91) // Вот это додумано 0 6 8212 это пользователи, у которых с другого сервиса утё, Аноним (-), 21:52 , 28-Июн-17, (93) Логично, но можно и так и так понять Что именно подразумевалось под reused не , Аноним (-), 22:01 , 28-Июн-17, (97) Совсем нет - reused _their_ leaked passwords , Аноним (-), 21:52 , 28-Июн-17, (92) // _their leaked passwords_Пароли, утёкшие с других сервисов использовались на npm , Аноним (-), 21:54 , 28-Июн-17, (95) Ох, ну это вообще трэш Там речь о том, что токены или пароли были запушены челов, Аноним (-), 22:03 , 28-Июн-17, (98) // Вы в тесте новости смотрите, а не в левом черновике на форуме , Аноним (-), 22:05 , 28-Июн-17, (99) // В смысле , Аноним (-), 22:06 , 28-Июн-17, (100) Актуальный текст на https www opennet ru opennews art shtml num 46768На https , Аноним (-), 22:12 , 28-Июн-17, (103) Ох Спасибо, я этого не заметил Я сюда перешёл по ссылке 171 смотреть все 1, Аноним (-), 22:16 , 28-Июн-17, (104) Я как раз и жалуюсь на то, что вот этот перевод слишком левый , Аноним (-), 22:06 , 28-Июн-17, (101) Кстати, кажется, поправили И это хорошо , Аноним (-), 22:09 , 28-Июн-17, (102) 1,2,4,6,7,9,10,12,19,23,24,27,30,34,39,41,50,53,56,58,70,73,83,86,89

Сообщения

[Сортировка по времени | RSS]

	21. "Более половины npm-пакетов могли быть скомпрометированы из-з..."	+3 +/–
	Сообщение от Ordu (ok), 27-Июн-17, 22:37
	Я бы согласился со снобизмом, если бы не раздел в новости "интересные факты". Хотя тут конечно возникает вопрос: они просто инициировали смену пароля, или объяснили причины? И если объяснили причины, то насколько подробно? Можно же просто сказать "ваш пароль небезопасен смените его", а можно сказать "ваш аккаунт был взломан методом подбора пароля, поэтому смените его на что-нибудь пристойное". Вот если имел место последний вариант и при этом вылезли сии интересные факты, то я присоединюсь к хору, поющему про веб-макак.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Более половины npm-пакетов могли быть скомпрометированы из-з..."	–1 +/–
	Сообщение от пох (?), 28-Июн-17, 00:20
	> Хотя тут конечно возникает вопрос: они просто инициировали смену пароля, > или объяснили причины? или неубедительно объяснили причины. > же просто сказать "ваш пароль небезопасен смените его", а можно сказать > "ваш аккаунт был взломан методом подбора пароля, поэтому смените его на а то мы все никак не соберемся озаботиться защитой от подбора. Ага, двадцать раз поменял, с кисточкой. Ну и то что занимаясь всей этой херней, они даже не почесались ограничить в интерфейсе возможность установки подбираемых паролей, тоже говорит о том, что макаки, похоже, в основном среди рулящих самим проектом.
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Более половины npm-пакетов могли быть скомпрометированы из-з..."	+1 +/–
	Сообщение от Ordu (ok), 28-Июн-17, 14:50
	> Ну и то что занимаясь всей этой херней, они даже не почесались ограничить в интерфейсе возможность установки подбираемых паролей, тоже говорит о том, что макаки, похоже, в основном среди рулящих самим проектом. Это палка о двух концах. Чем сложнее поменять пароль, тем реже и неохотнее пользователи будут это делать. Вплоть до детских реакций, типа назло мамке в лужу сяду, например, пароль меняется принудительно, пользователя просто не пускают в систему пока он не сменит пароль, а пользователь выпендривается мухой на стекле, пытаясь "сломать систему", то есть установить новый пароль максимально похожий на старый.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Более половины npm-пакетов могли быть скомпрометированы из-з..."	–1 +/–
	Сообщение от пох (?), 29-Июн-17, 09:25
	> Чем сложнее поменять пароль, тем реже и неохотнее пользователи будут это делать. так менять и не надо (вообще). Это тоже очередной псевдо-безопасный жупел, когда (с помощью административного ресурса) требуешь обосновать необходимость - начинают что-то неразборчиво мямлить. Потому что необходимостей две - пароли украдены из инфраструктуры борца за их сменяемость - ну, сам понимаешь... и пароль кто-то смог подсмотреть (перехватить - это предыдущий пункт). Во втором случае крайне маловероятно, что его подсмотрели и занесли в папочку "хранить вечно" - скорее всего, сразу и употребят, и меняешь ты его раз в две недели или вовсе раз в три дня - почти без разницы (а месячные и больше интервалы вообще фатально бессмысленны). А так да - я обычно использую сложный неподбираемый пароль - ровно до прихода сообщения что его, оказывается, раз в три месяца надо новый и несовпадающий с пятьюдесятью тысячами старых. После чего меняю на что-то вроде приведенного qwerty, и вешаю на монитор... Звиняйте, ребята, мне работать надо, и есть что менее бессмысленного помнить.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Более половины npm-пакетов могли быть скомпрометированы из-з..."	+/–
	Сообщение от Ordu (ok), 29-Июн-17, 15:45
	>[оверквотинг удален] > (с помощью административного ресурса) требуешь обосновать необходимость - начинают что-то > неразборчиво мямлить. > Потому что необходимостей две - пароли украдены из инфраструктуры борца за их > сменяемость - ну, сам понимаешь... и пароль кто-то смог подсмотреть (перехватить > - это предыдущий пункт). > Во втором случае крайне маловероятно, что его подсмотрели и занесли в папочку > "хранить вечно" - скорее всего, сразу и употребят, и меняешь ты > его раз в две недели или вовсе раз в три дня > - почти без разницы (а месячные и больше интервалы вообще фатально > бессмысленны). Может быть. Но отсутствие практики смены паролей даст атакующим возможность долгосрочно пользоваться доступом к аккаунту. Не спешить, не приступать прямо сейчас к действиям, которые раскроют факт взлома, а тихонько пользоваться аккаунтом в конкурентном режиме с владельцем. Чем выше вероятность смены пароля, тем менее эта стратегия привлекательна. Но, отмечу -- действительно, может быть оно и не стоит того. Я не в курсе того, кто, зачем и как взламывает аккаунты. > А так да - я обычно использую сложный неподбираемый пароль - ровно > до прихода сообщения что его, оказывается, раз в три месяца надо > новый и несовпадающий с пятьюдесятью тысячами старых. После чего меняю на > что-то вроде приведенного qwerty, и вешаю на монитор... Звиняйте, ребята, мне > работать надо, и есть что менее бессмысленного помнить. Да ладно, я вообще не понимаю этих проблем. Есть же браузер и он умеет помнить пароли. Если это по каким-то причинам не подходит -- можно придумать пяток других решений, вплоть до портабл-версии менагера паролей на флешке, который будет запускаться оттуда, спрашивать мастер пароль, а потом вводить пароль в любое поле ввода, куда я попрошу. Кстати, а нет ли виртуальных клавиатур в формате флешки, которые бы запоминали пароли, воспроизводили бы их, генерировали, и всё это через какой-нибудь простенький интерфейс в две кнопки?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема