大公司怎么还在犯这种低级的错误。我说的是tumblr

[neodreamer]

用户登录的密码是明文传输的。

小公司犯错还可以理解。大公司还犯这种低级错误就有点搞笑了。

http://m.newyorker.com/online/blogs/elements/2013/07/tumblr-vulnerability-how-to-secure-your-passwords.html

[11138]

$password_hash = md5_hex("密码+当前小时");

这样一个密码的hash有效期是一个小时，还有其它类似的办法，加上验证码等等其它条件再MD5一次。

[birds7]

研究人员将在Blackhat 2013上讲解如何30秒破解SSL
http://www.freebuf.com/news/10883.html

[luikore]

@11138 还在用 md5 的都是高危网站

[sharpnk]

这跟明文不明文没有关系. plain text over https完全没有任何问题.

tumblr的问题是用http传输了. 而且这个不是登陆页面, 是client朝authorization server要access token的request, 影响的是首次登陆的用户.

[zebinary]

现在登陆这块的最佳实践是什么样的？有人出来分享下么？

[neodreamer]

@sharpnk

http://regmedia.co.uk/2013/07/16/tumblr_plain_text_password.png
客户端用公钥加密，服务端私钥解密，貌似可以避免用户密码明文被暴露，虽然不能阻止密文被截获，不能阻止别人拿这密文伪造客户登录请求，获取用户访问权限。