Na internete existuje veľké množstvo bezplatných emailových služieb. Tie ponúkajú rôzne výhody, od veľkej kapacity, po neuveriteľne prepracovaný interface. Tieto služby poskytujú trvalý emailový kontakt. Naproti tomu existujú služby, ktoré poskytujú dočasné emailové schránky, ktoré sa po krátkom čase zrušia.
Tie sú v posledných rokoch veľmi vyhľadávané a ich popularita neustále rastie. Dôvodom sú nútené registrácie na mnohých miestách, ktoré vás nie až tak úplne zaujímajú, alebo sa chcete dostať k informácií, ktorá je dostupná len registrovaným užívateľom. Napríklad mnoho diskusných fór využíva práve tento postup pre získanie nových užívateľov. Vďaka tzv. 10 minútovému emailu sa môžete pokojne zaregistrovať bez toho, aby ste sa museli v budúcnosti venovať záplave správ z rôznych miest, kde ste sa zaregistrovali.
Tento postup sa samozrejme nehodí, ak sa chcete stať aktívnym členom webu, či jednoducho sledovať nové články, alebo príspevky. Existuje však dostatočné množstvo miest, kde svoj email využiť nechcete a web už pravdepodobne nikdy nenavštívite, alebo aspoň nie v dohľadnej dobe. Ďalšou výhodou je, že nehrozí kompromitácia vášho emailu, ak by bola stránka zneužitá útočníkom, alebo ak by sa jej administrátor rozhodol privyrobiť si trošku inak.
Jednou z týchto služieb je napríklad aj 10MinuteMail. Na jej stránkach sa nedávno objavila správa od jej autora, v ktorej uvádza, že služba funguje už zopár mesiacov a doteraz zaznamenávala zhruba 300 emailov denne. V posledný týždeň sa však situácia zmenila a služba začala prijímať 60,000-70,000 emailov denne. Väčšina z nich smerovala na emailové adresy, ktorých 10 minútová platnosť už dávno vypršala.
Táto správa jasne hovorí o tom, že niektorý majitelia takto webov, na ktorých sa registrovali nový užívatelia, pravdepodobne predali databázu spamerom, poprípade bola databáza odcudzená. V obchod prípadoch je to však pre užívateľa veľmi nepríjemná situácia. Najhorší problém však nastáva, ak užívateľ používa jednotné heslo na viacerých službách, ako email, paypal, atď. Takto môže dôjsť k odcudzeniu finančných prostriedkov, čo už je oveľa nepríjemnejší problém, ako dostávať “len” spam, poprípade sa môže užívateľ stať obeťou phishingu.
Podobnym sposobom funguju aj sluzby slopsbox.com (od ludi z The Pirate Bay) a http://www.trash-mail.com.
Staci zadat lubovolny nazov schranky, nan sa registrovat napr. na fore a potom uz len kliknut na autorizacny link pre dokoncenie registracie.
takychto sluzieb su doslova stovky. existuju dokonca aj sluzby, ktore uchovavaju registracne udaje a ponukaju ich inym uzivatelom
Najhorší problém však nastáva, ak užívateľ používa jednotné heslo na viacerých službách, ako email, paypal, atď. Takto môže dôjsť k odcudzeniu finančných prostriedkov
Ale nie je to az take horuce. Hesla vacsinou taketo fora hasuju, takze zradcovsky admini este k nim neamju priamy pristup (samozrejme 100% ochrana to nie je - kolko takychto apliacii aj heslo saltuje?).
2 ?
vacsine staci md5 a to je ochrana …. ziadna
phpbb ma teraz nejaky vlastny hash cize snad vacsina for je ok :) ale vies .. aj ten sa da vypnut a nahradit md5tkou .. ked chcem. ked uz mam aplikaciu mozem si s nou robit co len chcem. kludne nastavit ukladanie hesiel v plaintexte a nik mi na nic nepride a ja mam desattisice hesiel ;)
saltovanie je novinkou. pouziva sa len chvilu a ako povedal ayslix, nie je problem pri pristupe k db cokolvek upravit, napriklad logovat vstup
ja som skor myslel, ze ked si zakladam nejake forum s tym, ze po roku predam accounty, rozhodne nebudem pouzivat hash a pekne ho z zdrojaku fora pomazem.
Jasnacka, user pri adminovej zlomyselnosti nie je chraneny. To je ale potom debilita usera, ked pouziva na malo relevantnom fore (pri ktorom pouzije 10minMail) heslo rovnake ako napr. na paypal a pod.
a ktory web je relevantny. cim to dokazes urcit. podla mna je rovnako nebezpecny google ako povedzme blog.synopsi. nikdy nevies kto sa rozhodne k niecomu takemu. to sa proste neda vediet. preto treba mat doveru len v jediny zdroj a dufam, ze ten sa ta nepokusi okradnut. na ostatne uz potom len generatory hesiel atd
toto je pekny dokaz toho, ze sa nikomu neda verit - bud ze to nepredaju, alebo ze to maju dostatocne zabezpecene proti ukradnutiu…
a napriklad sa niekam clovek zaregistruje a ono mu to posle mail “dakujeme vam za registraciu, toto je vase meno a heslo…” - a takych je urcite plno, co to ukladaju v plaintexte
BTW: musim povedat vsak, ze ja spam uz vpodstate nevnimam odkedy som na gmaili, ktory ho dost dobre filtruje…
aj EU/IBM sa zacali zaujimat o nasu bezpecnost pod Web 2.0 :-) co mozme ocakavat ? hehe
info: http://www.ibm.com/news/sk/sk/2008/04/sk_sk_news_20080407.html