Однако

[dil]

http://community.livejournal.com/sup_ru/227213.html?thread=5546381#t5546381

Upd: меня вся эта возня с передачей эккаунтов СУПу до сего дня особо не волновала.

Но вот мысль о том, что сотрудники этой замечательной компании не только имеют доступ к паролям, но и используют их для логина от имени пользователей, причем без предварительного согласования, меня совсем не порадовала. А поскольку в обсуждении не упоминается, что соответствующие сотрудники уже уволены без выходного пособия, то
http://p-govorun.livejournal.com/68085.html

Comments

[1master.livejournal.com]

Я вот не помню, у нас с этого года закон о персональной информации действует или со следующей будет... Во будет веселье всем, кто не очухается.

[crypttales.livejournal.com]

Уже действует, и что? Новый закон "О рекламе" с запретом на рассылку спама уже больше года действует, спама меньше стало? А даже так далеко ходить не надо - просто открываем любой журнал или включаем любой телеканал и тупо видим кучу нарушений "классических" норм этого закона. Ничего, никого не штрафуют, всем по...

Значение имеет состоятельность формулировок и механизмов реализации, желание правоприменителей и активность заинтересованных сторон, а не сам факт наличия декларативного запрета чего-то там.

[dma.livejournal.com]

Однако речь про ljplus'ные пароли.
Кто ж их одинаковыми-то делает с ЖЖ..

[dil.livejournal.com]

Речь о том, что в ljplus могут храниться пароли от lj. ljplus куплен супом. суп использовал имеющуюся у него информацию для логинов от имени пользователей. причем в случае ксены - вообще без какого либо повода. http://community.livejournal.com/sup_ru/227213.html?thread=5566861#t5566861

[dma.livejournal.com]

Я дочитал минут через 10 до того места - но уж не стал комментЪ править.
На самом деле - не надо хранить пароли от одних сервисов в других сервисах :)

[dil.livejournal.com]

Конечно, не надо.

Но тут есть два обстоятельства. Во-первых, в настоящее время это не совсем другой сервис. ljplus куплен супом, аффилированной компанией 6A.

Во-вторых, наличие паролей - это ни разу не повод ими пользоваться. Они туда предоставлялись с вполне определенной целью - для использования в автоматических сервисах ljplus. а вовсе не для того, чтобы под ними логинились сотрудники компании.

Вот если, например, ты на одном почтовом сервисе указал логин и пароль от другого почтового сервиса, чтобы туда автоматически скачивалась почта по pop3, то порадуешься ли ты мысли о том, что сотрудники первого сервиса пойдут логиниться на второй от твоего имени? Вопрос же не в возможности, а в реализации ее.

[alexkuklin.livejournal.com]

ну я бы предположил возможность скорее authz bypass, чем использования пароля
но вообще - это скандал, да..

[dil.livejournal.com]

Да вопрос же не в механизме. Понятно, что возможность административного логина от имени пользователя чаще всего существует. Вопрос в том, нафига так делать без разрешения пользователя.

Ну и в данном конкретном случае - похоже, что пароли брались из базы ljplus, где они хранились в явном виде.