Aplikacja Wykop na androida trzyma hasło OTWARTYM TEKSTEM w pliku /data/data/pl.wykop.droid/shered_prefs/wykopDroidPrefs.xml Panowie żenada....

Aplikacja Wykop na androida trzyma hasło OTWARTYM TEKSTEM w pliku
/data/data/pl.wykop.droid/shered_prefs/wykopDroidPrefs.xml
Panowie żenada....

[B.....x]

no w końcu jakaś afera na wykopie :D

[p.....r]

@Binox: Sprzedam popcorn.

[Bozar]

@enemydown: podejmę się pośrednictwa w handlu popcornem.

[coma]

ta appka to i tak nędza :)

[coma]

@nobodyknow: dokladnie tak samo robie, i az mi zal :) nawet probowalem sam cos w tym temacie zadzialac, ale nie wnikajac w szczegoly, wydaje sie, ze m_b ma iphone'a, i na tym swiadomosc technologii mobilnych w tej organizacji sie konczy :)

[parachutes]

@coma: czemu?

[a5x4]

@kamdz: przywołuję cię, naczelny hejterze smutnych panów programistów z Poznania.

[k.....n]

@a5x4: kamdz otwiera szampana

[k.....n]

@simperium: już wiemy kto zastąpi macieja jak wyleci z wykopu :D

[s.....k]

Już niedługo na niebezpiecznik.pl :)

[piko]

@siwymilek: http://niebezpiecznik.pl/post/aplikacja-wykopu-na-androida-trzyma-haslo-w-jawnym-tekstem-i-co-z-tego/

[ciakoc]

@siwymilek: a z niebezpiecznika znowu na główną :)

[anonim1133]

Tak samo cała transmisja pomiędzy serwerem wykopu nie jest ani szyfrowana(hasło, maciejowy klucz do API)z , ani kompresowana. Wszystko można odczytać ;-) O tym akurat maciejowi pisałem, ale nie był zainteresowany.

[miszczo997]

@simperium: nie wiedział co to serwer.

[simperium]

nie był zainteresowany.

@anonim1133: nie wiedział jak naprawić? ;P

[neoandrew]

A w czym ma trzymać? W base64, aes? Przecież jak ktoś che to i tak zbada aplikację i to odkoduje.

[r3m0]

@Michal2: k$$$a w wiadrze ma trzymać.

Niestety zdecydowana większość użytkowników sieci ma te same hasła do wielu stron/usług. Chociażby dlatego jest to wielkim nietaktem, mówiąc bardzo delikatnie.

[kamdz]

@maciejkiner: nie zawiodłem się na Tobie :|

[Boska_Klaudia]

@siwymilek: o żesz ty w mordę jeża, co za chamskie ucięcie wypowiedzi @kamdz, normalnie zachowałeś obiektywizm jak Telewizja Polska

[kamdz]

@MistrzuYoda: to mój obowiązek :D wiem, że tak na serio to jest to w sumie afera o nic (chociaż zamiast tego hasła to można byłoby trzymać klucz logowania, który zwraca api...)

[kinlej]

Firefox też.

[Uriziel]

@kinlej: Nie, jeżeli ustawisz hasło główne.

[DOgi]

@kinlej: firefox to przeglądarka internetowa, więc jak ma trzymać hasła...

[l.....k]

Uu widzę biorą przykład od kolegów z allegro.

[BeSmarter]

@lobek: "Uczymy się rozwiązań od najlepszych w branży!"

[Rotucex]

No panowie, co za wstyd... przecież każdy wie, że hasła zapisuje się na żółtej karteczce którą najlepiej przykleić na laptopa...

[varez]

@plushy: Chyba Twój.

Laptop: http://i.imgur.com/1E6C4.jpg

LCD: http://i.imgur.com/Qahzb.jpg

Ramka od LCD jest taka sama jak przy lapku (tylko na laptopie trochę krzywo nakeliłem). Karteczka na zdjęciu jest sporo większa od "klasycznej" żółtej karteczki, ale tylko ona była przyklejona do monitora, więc była pod ręką.

[Altar]

@varez: Żartowałem. Po prostu tak dokładnie opisałeś przyklejanie karteczek, jakbyś chciał tutorial zrobić :)

[krdln]

Okropieństwo! Ssh trzyma klucz prywatny w pliku ~/.ssh/id_rsa! Całe szczęście, że w base64, bo inaczej, to już dawno byłoby scrackowane.

[morsik]

@krdln: Od tego masz agenta kluczy. Przy logowaniu do systemu, zostajesz zapytany raz o hasło do globalnej bazy kluczy, wtedy dostęp masz odblokowany i możesz korzystać całą sesję z tych kluczy bez wpisywania haseł. Po zakończeniu sesji, klucze są nadal zablokowane, więc przy zwykłym skopiowaniu pliku nikt niepowołany nie może z nich skorzystać.

[krdln]

@morsik: Ano, ale to zaprzecza wygodzie, jaką daje posługiwanie się kluczami – wolności od wklepywania haseł.

[D.....e]

Nie jestem jakiś super mocny w androidzie, ale napisałem parę aplikacji i z tego co wiem, użycie SharedPreferences do przechowywania hasła jest jak najbardziej dopuszczalne. Inne aplikacje nie mają dostępu do plików wykopowej apki chyba, że zrootujesz sobie telefon. Alternatywą jest stosowanie klucza symetrycznego, co na urządzeniu klienckim jest całkowicie bezsensowne, albo poleganie na ID sesji, ale wtedy po jakimś czasie znowu trzeba by było pytać o hasło.

[Morf]

@DoktorHouse: miło że pośród 144 komentarzy można znaleźć klika opinii ludzi którzy trochę znają się na temacie ;) masz rację czy nie to lepsze to niż kolejne "NAUCZCIE SIĘ PROGRAMOWAĆ"

[t.....1]

Przydałoby się logowanie przez tokena bo jeszcze ktoś haknie konto i napisze że jesteś pedałem :P

[n.....c]

jesteś pedałem

[przemyslany_nick]

@niemogewtouwierzyc: Jaki z Ciebie hakier :D

[Strzalka]

Stworzyłem wykop o mobilnej wersji iOS na iPada/iPhone'a, wątek nie poruszony z tym będzie podobnie. Wykopie może coś to zmieni!

[mack23]

@Strzalka: a ja będę bronił autorów aplikacji. Na co dzień piszę aplikacje, które chcąc nie chcąc muszą gdzieś przechowywać hasło. Co prawda sam nie zapisuje haseł plain textem, zazwyczaj używam AES'a ale problem w tym że nie ma gdzie zapisać klucza szyfrującego tak aby nie dało się go zdobyć. Klucz można rozsiać w kilku kawałkach kodu, jednak jeśli aplikacja jest w stanie rozszyfrować hasło, domorosły hacker również. Wystarczy zdekompletować aplikacje i

[W.....r]

@Strzalka: Może dlatego, że dodałeś do kategorii z AMA.

[Brut_all]

Ło matko, podobno tylu tutaj programistów, a jednak w kwestii bezpieczeństwa ludziom brakuje elementarnej wiedzy. Po co się uczyć, jak działa? Do czasu, aż się nie wyląduje na niebezpieczniku.

Oczywiste jest, że w typowej sytuacji nie jest możliwe zapisanie hasła tak, aby aplikacja mogła się nim logować, a ktoś z dostępem do niego - nie. Jeśli ktoś wykradnie nasz plik, to na pewno będzie w stanie korzystać z naszego konta. Jednak:

1.

[Brut_all]

@Qster:

To teraz zajrzyj do zaciemnianego kodu przykładowego Google Maps i powtórz to samo stwierdzenie ;-)

Poza tym klucz nie musi się znajdować w kodzie, nie musi być stały dla każdego użytkownika. Może być np. generowany losowo przy pierwszym starcie aplikacji i przekazywany serwerowi. Oczywiście jeśli otrzyma się pełny dostęp do urządzenia, to i tak będzie możliwe wyśledzenie, co i jak oraz wykradnięcie klucza, ale będzie to wymagało nieporównywalnie więcej poświęconego

[Brut_all]

@kamdz:

Tak. Więc na grzebaniu w cudzych aplikacjach oraz łamaniu zabezpieczeń się co nieco znam ;-) Kiedyś na XDA ktoś zapytał, jak się dostać do stanu gry Angry Birds Rio, gdyż zastosowali właśnie szyfrowanie AES stałym kluczem zawartym w kodzie aplikacji. Dałem radę wyekstraktować ten klucz oraz algorytm szyftowania, choć zajęło mi to bite 2 dni :-)

[R.....v]

W wersji na iOS hasło w plaintext znajduje się w /private/var/mobile/Applications//Library/Preferences/pl.wykop.Wykop.plist.

[F.....o]

Afera w aferze? :> @mdom ma tylko jeden wykop na 6 miesięcy i nie był nawet ostatnimi czasy nawet trochę aktywny. Multikonto? @elfik32 @shepard ?

Tak wszędzie węszę spiski.

[koszernyrozum]

I dobrze robi. Innej opcji... nie ma. Można jak gg bawić się w szyfrowanie hasła odwracalnym algorytmem, ale to zabezpiecza tylko przed podejrzeniem hasła przez otwarcie config.dat w notatniku (nowe gg ma to pewnie jakoś inaczej). Odszyfrowanie i tak jest z definicji możliwe.

Tutaj mamy telefon użytkownika, w dodatku plik znajduje się poza ogólnie dostępnym rejonem (trzeba zrootować). Trzymanie hasła w ten sposób jest jak najbardziej odpowiednim rozwiązaniem.

Bawienie się w jakieś

[Zombiak]

@koszernyrozum:

I dobrze robi. Innej opcji... nie ma

Oczywiście, że SĄ inne opcje. Aplikacja wykopu to nie przeglądarka internetowa tylko ich autorska apka więc wystarczy aby serwer po udanej autoryzacji generował hasło aplikacji i ono byłoby trzymane zamiast tego właściwego. Zaleta jest taka, że hasło użytkownika może pasować też do innych serwisów np poczty i kiedy zostanie wykradzione można narobić komuś burdelu. Poza tym uniemożliwi to zmianę hasła do konta jeżeli

[M.....s]

@koszernyrozum: Efekt nie jest taki sam. Znając hasło możesz wszystko, mając dostęp do konta możesz go tylko używać, nie zrobisz nic, co wymaga podania hasła. Poza tym sporo ludzi używa jednego hasła do wielu serwisów.

[N.....y]

A kto jest autorem tej aplikacji?

[w.....2]

@NieznanyAleAmbitny: maciejkiner

[koziolek]

@wolfik92: @maciejkiner

[tusk]

Masz racje, pokazalo ze moje haslo to fdg14&U8*

[tusk]

@tusk: również potwierdzam.

[tusk]

@tusk: Potwierdzam, haslo prawidlowe.

[p.....k]

burza w szklance wody

[Furb]

Teraz wszystkie cenne punkciki i wykopki wpadna w niepowolane rece kradziejom telefonow. Co my teraz zrobimy?

[n.....2]

No faktycznie każdy pragnie twojego hasła do wykopu aby być pomarańczowym.

[wielowitamin]

no nie trzeba skasować wykop z internetu

[kamdz]

@wielowitamin: treść nieodpowiednia :D