Техдиректор Ozon.ru в комментариях на «Хабре» проговорился, что сервис впервые перестал присылать пароли в открытом виде Статьи редакции
До этого компания на протяжении 20 лет отправляла пароли при восстановлении профиля обычным текстом.
Обновлено в 18:00: Техдиректор Ozon.ru рассказал TJ, что пароли пользователей всегда хранились в зашифрованном виде.
Технический директор Ozon.ru Анатолий Орлов в комментариях на «Хабре» рассказал, что интернет-магазин впервые за 20 лет работы перестал присылать пароли в открытом виде. По словам топ-менеджера, это было первое, что он попросил «починить к **** [хренам]», когда вышел на работу в апреле 2018 года. На это обратили внимание в Telegram-канале G33ks.
Техдиректор проговорился о переходе на новую систему восстановления паролей под одним из материалов компании. На момент написания заметки комментарии уже удалили, вероятно, из-за мата, который запрещён в обсуждениях на «Хабре». Аккаунт пользователя Anatolix (под таким же ником Орлов зарегистрирован на Фейсбуке) перевели в статус read-only.
В пресс-службе Ozon.ru пояснили, что комментарии на скриншоте вырваны из контекста. Анатолий Орлов рассказал TJ, что пароли пользователей всегда хранились в зашифрованном виде в базе данных. По его словам, доступ к ним могли получить лишь сотрудники «да и то, теоретически». Он пояснил, что в 2018 году сервис впервые начал использовать шифрование с использованием хэшей, которое гарантирует невозможность расшифровки пароля из базы данных.
Раньше, если пользователь восстанавливал пароль с привязанной к аккаунту почты, OZON ему этот пароль присылал ответным письмом. При этом в базе пароли хранились в кодированном виде. Не в открытом доступе Эксель-табличке, а в виде кода. Это означает, что получить эти пароли мог — да и то теоретически — сотрудник компании, у которого был доступ в базу и ключ кодирования.
В 2018 году пришла новая команда, которая сделала серьезную работу для усиления безопасности. Сейчас все пароли пользователей хранятся в хэшированном виде (aka “закодированные необратимым образом”) — от пароля вычисляется необратимая функция, в результате проверить его можно, вычислив от него такую же функцию, но восстановить его невозможно. Лучше всего оберегаются те секреты, которые ты сам не знаешь.
На момент написания заметки сервис действительно перестал присылать пароли в открытом виде. Редактор TJ попытался восстановить пароль и получил от интернет-магазина сообщение со ссылкой на смену пароля.
Ещё в 2012 году пользователи «Хабра» раскритиковали Ozon.ru за хранение паролей в открытом виде. Один из них попытался восстановить доступ к профилю и получил старый пароль в письме.
Как тогда отмечали пользователи, хранение пароля в открытом виде может представлять угрозу для пользователей, так как злоумышленнику достаточно будет украсть базу данных один раз, чтобы получить доступ сразу ко всем аккаунтам. Кроме того, в случае использования одних и тех же паролей появляется риск взлома профилей на других сервисах.
f
Комментарий недоступен
Обожаю эту пикчу
Им надо запилить поддержку Pay в приложении и с мака.
Комментарий недоступен
В приложении оно есть.
Это уже есть в приложении, в скором времени добавим и на сайт
В приложении есть
Комментарий недоступен
Комментарий недоступен
На хабре зато комменты значительно содержательней чем тжшное школоло
Комментарий недоступен
Блять Меглин, ты иногда выдаешь чем-нибудь гениальное, но все чаще несёшь такую хуйню как сейчас.
Как будто блять сменщика по объявлению в газете взяли
Чё ты злой такой сегодня?
Ну выложи тогда сюда административный пароль от своего сайта.
А вы мастер в шакальстве картинок. 10/10
Передаю привет Nic.ru. Надо будет еще раз перепроверить как у них там с паролями.
https://tjournal.ru/flood/60874-pochemu-ya-vyvozhu-vse-svoi-domeny-iz-ru-center
Комментарий недоступен
Как будто это единственная причина не пользоваться Ozon.
Маркетплейсов и так достаточно много (но обычно узкоспециализированных - как Wildberries с одеждой), плюс после полноценного захода Aliexpress в лице Tmall все крупные компании внезапно захотели себе такой же.
Уникальных фишек типа быстрой доставки у него давно нет - тот же Tmall везет товары день в день (проверено для Москвы), да еще и бесплатно.
Нипаверите, роисся это не только масква
Я помню анатоликса по эпичному срачу 2010 года, когда рамблер объявил о переводе всех своих почтовых серверов с фряхи на убунту. Там была жаришка) Только анатоликс тогда в яндексе работал, если мне память не изменяет.
Комментарий недоступен
Комментарий недоступен
Во-первых, тут нужно учитывать что даже то, что заявляется зашифрованным, может таковым не являться. Во-вторых, шифрование всего и вся накладывает много дополнительных технических и административных проблем)
В пинципе взаимодействие физлица с бизнесом строится на доверии первого последним, потому что узнать что исполняется на конечном сервере невозможно и любые заявления о том, что "у нас все зашифровано" непроверяемы в большинстве случаев
Не важно в каком виде они хранят переписку, владельцы всегда могут получить к ней доступ.
Хешированные алгоритмом мд5, базы хешей которого вы легко найдёте в открытом доступе
Очевидно, что хешированы они с солью, и ничего никогда по базам не найдется.
Ничего не мешает сначала прислать пароль почтой, а потом захешировать и положить в базу
Комментарий недоступен
Комментарий недоступен
Комментарий недоступен
Это норма для многих компаний (нет)
P.S.: До недавнего времени веб-хостинг nic.ru хранил пароли в открытом виде и ничего
Ну было и было
У озона на самом деле много технических проблем, но я надеюсь, что они их решат. Потому что альтернатив то особо нет, а адекватный сервис типа амазона (с доставкой в тот же день) только в России хочется.
Озон давно скатился. Посмотри отзывы на маркете.