Laverna: كلمة مرور تشفير النص العادي في سطر URL!

أين اكتشفته؟ في صفحة الإعدادات؟

لا ، لقد حاولت تسجيل الدخول إلى تثبيت جديد ، ثم انتقل إلى الخيارات ، وقم بتعيين كلمة مرور التشفير والعودة إلى صفحة البداية. لقد أوصلني موجه مفتاح enc إلى صفحة بها كلمة مرور في URL.

https://i.redd.it/096w6x07l3px.png

كونوا واقعيين يا قوم

https://www.reddit.com/r/softwaregore/comments/55j9wg/very_secure_password_storage_password/

هل من الممكن أن يكون هذا محددًا بنظام التشغيل / المتصفح؟ يبدو أن كل لقطات الشاشة مأخوذة على Windows؟

claell No. يتم نقل كلمة المرور ببساطة من خلال GET. هؤلاء الرجال يجهلون الأمن تمامًا. هذا ليس خطأ ، هذا إهمال.

claell هذا إما نظام تشغيل أو متصفح خاص. هذا هو نتيجة تطبيق مشفر بشكل سيء. لا يقوم المرء ببساطة بنقل كلمات المرور في نص عادي من خلال GET .....

وقد ظل هذا الإصدار مفتوحًا منذ أكثر من 6 أشهر! إصلاح هذا الهراء بالفعل!

miestasmiaYrlish هذا لن يحدث لجميع المستخدمين. لذلك في بعض الحالات يكون هناك هذا التحويل السيئ وفي حالات أخرى لا يكون كذلك. كنت أتساءل ما الذي يسبب هذا.

أجمعclaell أنهم كانوا يعتزمون استخدام POST ولكن لأي سبب من الأسباب قد يرجع متصفحك إلى GET ، واستخدموا شيئًا مشابهًا لـ PHP $ _REQUEST الذي لا يهتم بمصدره ، ولهذا السبب لم يتم إصلاحه.

يصبح هذا أكثر حكاية :)

عذرًا ، ولكن هذا لا يحدث لأن كلمة المرور الخاصة بك تم نقلها في مكان ما ولكن لأنه في البداية الأولى بعد كتابة كلمة المرور ، ربما قمت بكتابة إدخال. يحدث ذلك ببساطة لأننا لم نمنع السلوك الافتراضي.

كان السلوك المقصود في البداية هو النقر فوق الزر "التالي" بدلاً من إرسال النموذج. بعد ذلك ، سيتم حفظ كلمة المرور في indexeddb. يمكن إصلاح المشكلة عن طريق منع إرسال النموذج تمامًا.

يبدو أن الكثير منكم يفكرون في أن كلمة المرور كان من المفترض أن يتم نقلها إلى الخادم خاصة هنا ، ولكن في الواقع لم يكن من المفترض أن يتم نقل كلمة المرور في أي مكان بدون طلب POST وبالتأكيد ليس مع طلب GET.

نأسف لإبقاء المشكلات مفتوحة لفترة طويلة لم يكن لدينا وقت كافٍ لتتبعها.

تم إصلاح الخلل. كما قلت ، كان يحدث ببساطة لأننا نسينا منع سلوك النموذج الافتراضي. شكرًا لك @ jn0 على الإبلاغ عن المشكلة.

أنا أستخدم إصدار Chrome 59.0.3071.115 (الإصدار الرسمي) (64 بت) على نظام التشغيل Windows 10 Pro x64 وقد واجهت هذه المشكلة للتو. تظهر كلمة المرور التي أدخلتها في نص عادي في شريط عنوان url ، مخزنة في سجل المتصفح الخاص بي ، ويتم عرضها لأي شخص عبر الإكمال التلقائي لإظهار عنوان url هذا (خاصة عندما أكتب Laverna). يُعد الكشف عن كلمة المرور ثغرة أمنية عالية الخطورة ، خاصةً عندما يتم الكشف عن سجل المتصفح الذي يحتوي على كلمة مرور نص عادي لمهاجم بعيد.

حدثت المشكلة عندما أنشأت مثيلًا مشفرًا لأول مرة ضمن التهيئة الخاصة بي. عنوان URL الذي يحتوي على كلمة المرور هو العنوان الذي يظهر مباشرة بعد الشاشة والذي يشير إلى "إلغاء القفل" واختيار التطبيق. يتم عرضه على النحو التالي: https://laverna.cc/app/؟password=PLAINTEXT&cloudStorage=0#/notes/f/task

لست متأكدًا ولكني أعتقد أن أفضل الممارسات هنا هي تمرير التجزئة ومقارنتها أو عدم استخدام إرسال النموذج على الإطلاق.