Ondrej Sevecek's Blog

jedním zástupcem poměrně prominentním je https://haveibeenpwned.com

díval jsem se právě na to, jak odesílají tu emailovou adresu. Normálně udělají HTTP GET a v URL tam vrazí tu adresu - například takto:
https://haveibeenpwned.com/api/v2/breachedaccount/kamil.idiot%40kamilovo.com?includeUnverified=true
Kdyby to měla být slušná služba, tak by z toho na klientovi v JavaScriptu udělala hash a tu potom na serveru porovnávala. Takže to slušná služba není.

Přesně! Proč někde něco složitě krást, když se většinou stačí jenom zeptat :-D

bude aj vyhodnotenie ?

už jsem o tom přemýšlel, ale vyhodnotit to nemám zatím jak, protože se ta data vůbec ke mě na server neodesílají, takže já ty přesné hodnoty nemám. prokliknout se to dá i totálně bez zadání hodnoty, nebo s libovolně nesmyslnou hodnotou. Takže já nepoznám, jestli to někdo opravdu zadal, nebo to jenom zkušebně prokliknul.

Ano, poznám kolik je tam prokliků, ale ne "jakých". Což nemá vypovídací hodnotu.

Šlo by to vylepšit tak, že bych tam měl v tom formuláři nějakou alespoň základní validaci, jestli to vypadá jako emailová adresa, nebo jestli to je opravdu číslo karty, ale to sem nechtěl až tak moc komplikovat.

uvidím, třeba najdu trochu času tam dát validaci :-) aspoň na klientovi. Nechci to vůbec odesílat přes internet, protože nechci řešit bezpečnost.

s CTRL+F nad seznamem hesel / karet / ... popsana zde
http://www.soom.cz/clanky/623--Jak-zjistit-heslo-CTRL-F
:-)

no ale aj ked je vasa stranka vyukova ako pisete, HTTP by byt naozaj nemala. Co ak vasu vyukovu stranku a teda aj vasu autoritu niekto vyuzije na zber tych udajov? Myslim to tak, ze ak bezpecnostny expert Ondrej Sevecek vyzve na zadanie kreditnej karty, tak mu mozno uveria aj zdatnejsi jedinci... :)

nevyužije :-) ten formulář se vůbec neodesílá. i když něco zadáte do toho políčka, tak se to na server vůbec neposílá. je to schválně na dva formuláře, takže to tlačítko je jiný formulář. zadaná data vůbec po internetu neletí :-)

přesně proto, aby se nedalo říct, že se něco dá odchytit, nebo že by se to mohlo čistě náhodou u mě na serveru zalogovat :-) Takže není co zalogovat ani odchytit, i kdyby to člověk náhodou rozjel přes HTTP.

já jsem opatrnej :-)

Co hovorite na tuto stranku, je to tiez len podvod ?
https://haveibeenpwned.com/

Já bych si dovolil oponovat.

Zkoušel jsem tam nějaká známá leaknutá id. Dle použitých leak služeb odpovídá, že ta stránka funguje, tzn. že ty databáze dostupné má, takže na všechny, kteří už prozrazení jsou stejně id/e-mail a nejspíš i heslo má :-)

Tím nejspíš má i velké % id/e-mailů bez prolomeného hesla.

Takže, když vím, že např používám linkedin, tak už si security tolik nezhorším.

Každopádně dobrý tip je s tím GET, podle mě to málokdo hlídá, když to je jen http. (haveibeenpwned.com má https).