Orphus Community

Владимир Коэн-Цедек

Как известно, если на странице есть <input type=password>, то он должен прятать пароль всеми возможными способами. Так, он не только заменяет введенные символы на звездочки, но и не дает сделать Copy. Однако если на той же странице стоит Орфус, то можно выделить текст в таком поле, нажать Ctrl-Enter и увидеть пароль на экране! Не буду перечислять ситуации, в которых это может оказаться нехорошо.

Дмитрий Кóтеров

М-да...
А что поделать? К сожалунию, так уж работают браузеры...

Юрий Насретдинов

Владимир Коэн-Цедек
В общем, это нужно обращаться не к Диме Котерову, а выше - к разработчикам движков браузеров, чтобы они запретили чтение паролей с помощью ЯваСкрипта.

Владимир Коэн-Цедек

Я думаю, что на уровне Орфуса можно хотя бы добавить проверку: если данный текст является значением пароля, то не показывать его на экране (и не посылать по мейлу) в открытом виде. Если хотите, я попробую сделать такую добавку к скрипту Орфуса.

Дмитрий Кóтеров

А как Вы определите, что текст является значением пароля? Он же через объект selection браузера получается.

Дмитрий Кóтеров

Мне кажется, все же проблема больше надуманна. Пользователь ведь видит, что он посылает по почте. И послать он может только свой собственный пароль (чужой так подсмотреть нельзя), да и то - ему покажется его пароль в окне.

Владимир Коэн-Цедек

Дмитрий Кóтеров писал(а):

А как Вы определите, что текст является значением пароля? Он же через объект selection браузера получается.

Пока не знаю. Надеюсь, что можно как-то получить доступ не только к тексту, но и к тем элементам экрана, из значений которых он состоит.

Дмитрий Кóтеров писал(а):

Мне кажется, все же проблема больше надуманна. Пользователь ведь видит, что он посылает по почте.

Дело-то не в этом. Потому что:

Дмитрий Кóтеров писал(а):

И послать он может только свой собственный пароль (чужой так подсмотреть нельзя), да и то - ему покажется его пароль в окне.

Не задумывались ли Вы, почему в полях ввода пароля заблокирована команда Copy? Я полагаю, что речь о ситуациях, когда один человек заполняет пароль (или даже пароль берется из cookies, как при входе на многие почтовые сайты), а другой стоит у него за плечом. Именно на этот случай пароль заменяется на звездочки, и на этот же случай заблокировано Copy (если первый человек на минуту отошел от компьютера). На этот же случай нужно (бы) заблокировать показ пароля через alert и отправку его куда бы то ни было по почте.

Юрий Насретдинов

Владимир Коэн-Цедек
Короче говоря, такая ситуация возникает крайне редко, и к тому же, вряд ли этот человек, который стоит за спиной, догадается нажать Ctrl+Enter. Скорее вирусов наловит кучу, чем это

Владимир Коэн-Цедек

Юpий Насрeтдинов писал(а):

Владимир Коэн-Цедек
Короче говоря, такая ситуация возникает крайне редко, и к тому же, вряд ли этот человек, который стоит за спиной, догадается...

Простите, но когда речь идет о секьюрити, то такие утверждения не являются аргументом.

Дмитрий Кóтеров

Владимир Коэн-Цедек писал(а):

или даже пароль берется из cookies, как при входе на многие почтовые сайты

В этом случае всегда можно сделать view source, и там пароль покажется.

Владимир Коэн-Цедек

Дмитрий Кóтеров писал(а):

Владимир Коэн-Цедек писал(а):

или даже пароль берется из cookies, как при входе на многие почтовые сайты

В этом случае всегда можно сделать view source, и там пароль покажется.

Это неверно. Пароль ведь вставляется не на сервере.

Я сейчас проверил и увидел вот что:
<input type=password class=long size=6 name=Password tabindex=3 value=**********>
Так что ничего не показывается.

Дмитрий Кóтеров

Какой браузер?

Юрий Насретдинов

Владимир Коэн-Цедек писал(а):

Простите, но когда речь идет о секьюрити, то такие утверждения не являются аргументом.

Когда речь идёт о глупостях, высасываемых из пальца, то вполне являются. Надо лишь понять, что это глупость. Используя такие аргументы можно это показать.

Владимир Коэн-Цедек

Дмитрий Кóтеров писал(а):

Какой браузер?

IE 6.

Владимир Коэн-Цедек

Юpий Насрeтдинов писал(а):

Владимир Коэн-Цедек писал(а):

Простите, но когда речь идет о секьюрити, то такие утверждения не являются аргументом.

Когда речь идёт о глупостях, высасываемых из пальца, то вполне являются. Надо лишь понять, что это глупость. Используя такие аргументы можно это показать.

:^))) Хорошие аргументы, однако. "Я в реальность воров не верю, следовательно бред об их существовании является глупостью". Что же, продолжайте не верить. Лично я все-таки буду их остерегаться.

Юрий Насретдинов

Владимир Коэн-Цедек писал(а):

Что же, продолжайте не верить. Лично я все-таки буду их остерегаться.

Есть тысячи способов узнать этот пароль, вплоть до того, что например в Mozilla Firefox в расширении Web Developer есть функция «Показать все пароли». Вы тоже эту возможность попросите разработчиков убрать?

Владимир Коэн-Цедек

Юpий Насрeтдинов писал(а):

Вы тоже эту возможность попросите разработчиков убрать?

Да. Я считаю, что одной маленькой дырки в заборе достаточно, чтобы свести на нет все усилия по возведению забора.

Юрий Насретдинов

Владимир Коэн-Цедек писал(а):

Да. Я считаю, что одной маленькой дырки в заборе достаточно, чтобы свести на нет все усилия по возведению забора.

Это конечно правильно, вот только этих дырок так много, что заткнуть все Вы всё равно не сможете. Потому что это называется параноя.

Maus

Юpий Насрeтдинов
Я бы даже сказал ,что (в данном случае) и забора никакого нет. Так, оптический обман...

Юрий Насретдинов

Maus
Ну, вернее, забор-то есть, но в основном очень трухлявый и еле-еле стоящий на ногах :)

Владимир Коэн-Цедек

Юpий Насрeтдинов писал(а):

Потому что это называется параноя.

У Ноя не было пары.

bæv

Владимир Коэн-Цедек писал(а):

У Ноя не было пары.

-- разве?
Вообще, я, вроде, понимаю на что намёк...

Юpий Насрeтдинов: параноЙя

Юрий Насретдинов

bæv писал(а):

параноЙя

Спасибо :). Честно говоря, не привык проверять свои сообщения в Word'е по одной простой причине - обычно орфорграфических ошибок я делаю очень мало :).

Владимир Коэн-Цедек

Юpий Насрeтдинов писал(а):

bæv писал(а):

параноЙя

Спасибо :). Честно говоря, не привык проверять свои сообщения в Word'е по одной простой причине - обычно орфорграфических ошибок я делаю очень мало :).

А вот теперь я начну огрызаться за то, что меня обозвали параноиком... Ладно, не буду. :^)