Beiträge von mainziman

oder einfach mal die Quellcodes von dem einen od. anderen Framework sich ansehen;

da kommt goto vor;

auch wenn es dazumals in der Schule hieß - wer ein goto verwendet, hat automatisch ein "Nicht genüigend" und ist durchgefallen -

verwende ich manchmal bewußt ein goto;

             if ( condition1 )
             {
             }
             else
             {
               if ( condition2 )
               {
                  if ( subcondition2 )
                  {
                  }
                  else
                    goto errorLabel;
               }
               else
               {
errorLabel: 
               }
             }

und genau solche Konstrukte findet man in Quellcodes der diversen Frameworks;

wer mal einen richtigen Quellcode sehen will, soll sich mal IBM's Open Class Libraries ansehen;

Zitat von nitram

Das geht eigentlich relativ leicht in jeder Sprache...

meinst Du des?

Zitat von nitram

goto Ignore();

den Quark kann so in der Form nur eine einzige Sprache, und die nennt sich eigentlich Assembler

               JMP ignore
               ...
ignore         PROC
               PUSH RBP
               MOV RBP,RSP
               ...
               POP RBP
               RET
ignore         ENDP

und sogar dort is des kompletter Quark

Zitat von mfnalex

Und wie willst du dann bei (b) überprüfen ob der Username enthalten ist?

der wird nicht gebraucht, denn wenn schon wird das Passwort auch gleich so gematscht,

dass beliebige 4 aufeinanderfolgende Zeichen eines Passwortes so zu bilden sind, dass

je 1 Zeichen aus folgenden Klassen zu nehmen ist:

- Großbuchstabe

- Kleinbuchstabe

- Ziffer

- Sonderzeichen aus einer definierten Menge

und dann ist die Geschichte mit dem Username passe

oder auch so, um da noch was zufälliges reinzubringen,

je 4 Zeichen beinhalten 3 dieser Klassen, es dürfen aber 2 solcher 4-Zeichenblöcke,

welche sich mit bis zu 3 Zeichen überschneiden nicht die selben 3 Klassen beinhalten;

m_ueberall die Hashes sollten reichen, und dann bekommst richtig Ärger,

wenn jemand zufällig eine Kollision 'veranstaltet'

nitram

die Programmiersprache zeigst mir die den Quark unterstützt

des schaffst net a mal mit FORTRAN

mfnalex was würdest Du dir denken, wenn Du einen Quellcode warten müsstest,

und folgendes dabei vorfinden würdest

(a) if ( !isSecureEnough( password, username ) )

im Vergleich dazu

(b) if ( !isSecureEnough( password ) )

ich würd ma bei (a) denken: "was ist das für ein Pfusch?"

des einen Freud des anderen Leid;

ich habs nicht so mit Sonderzeichen;

das erhöht mir die Sicherheit zu wenig als deren Zwang sie verwenden zu müssen einen Sinn geben würde ...

Zitat von tom434

Also 3 GB für 10€ finde ich schon sehr teuer

ist alles relativ;

ich zahl f. ein Datenvolumen von 10 GByte und Kontingent von 1000 Minuten/SMS 8½ EUR im Monat;

[und verbrauchen tu ich im Schnitt rund ¼ Gbyte, ½ h und max. 5 SMS im Monat]

m_ueberall nur her damit; Linz Hauptbahnhof, Bahnsteig 3 A-F

tom434 Danke gut zu wissen;

mal eine reine hypothetische Frage, weil sie bei mir aufgetaucht ist;

sollte man den Verlust seines Phones beklagen, sei es weil man es wo vergessen hat, oder weil man dessen beraubt wurde;

was passiert mit der alten Nummer, ist die weg, oder kann man diese wieder haben?

Zitat von frank_m

Ergo: In Bayern sind die Verläufe schlimmer.

oder die Bevölkerung älter ...

ich hab jetzt das ultimative captcha dingens gefunden/entdeckt

einfach einen OTP key als QR dingens anzeigen;

und dann einen entsprechenden Wert erwarten;

schau ich mir doch an, ob des so schnell ein "Automat" umgehen kann

Zitat von RFC 6238, Seite 9

Code

/**
  * This is an example implementation of the OATH
  * TOTP algorithm.
  * Visit www.openauthentication.org for more information.
  *
  * @author Johan Rydell, PortWise, Inc.  *

ist doch ein Kinderspiel, oder ...

und, wenn man es dann schafft ...

wenn alle RFCs von derartigen Pfuschern erstellt wurden, dann ist es echt ein Wunder,

dass des Internet noch niemanden um die Ohren geflogen ist

perryflynn et aRaphael gabs das in PHP schon immer?

seh' sowas in PHP zum ersten mal, darum wurde ich stutzig;

in C/C++ is es ohnehin klar;

ich bin auf der Suche, nach bereits vorhandenem Quellcode am besten gleich die Funktion,

welcher ich das OTP Secret und einen Wert des OTP-Generators übergebe und 'richtig' od. 'falsch' geliefert wird;

sollte man hier: https://github.com/lfkeitel/php-t…er/src/Hotp.php

nicht besser Zeile 72 und 76 tauschen?

Homer der Atomkraftwerksingenieur

ich hab heute die Stromabrechnung f. das Kalenderjahr 2022 bekommen,

die versteht nichtmal jemand mit einem Abschluß von Harvard

Zitat von ReverZ

Wenn ich also beispielsweise ein 16-Zeichen langes "sicheres" Passwort aus dem Manager habe und 4 Zahlen daran anhänge, ist der Aufwand für das BruteForce-Verfahren ja nur noch auf die 4 Zahlen beschränkt und nicht für das gesammte Passwort.

Ja und Nein, indem eben nicht bekannt ist, dass Du die 4 Ziffern 'ranhängst, welche Du genausogut auch voranstellen kannst,

beschränkt es sich eben nicht auf nur diese 4 Zeichen;

Zitat von cadeyrn

Solche Unterstellungen belegst du besser.

wer sich an den Daten der Mails - da war mal was mit einem Analytica-Laden und Gmaill - zu Analysezwecken vergreift,

bei dem ist die Hemmschwelle sich auch an den Daten der Storages nicht wirklich gegeben;

https://en.wikipedia.org/wiki/Cambridge_Analytica (ich meine mich erinnern zu können dass der Laden involviert war)

Zitat von frank_m

Das ist Unsinn. Man muss kein Freund von Cloudanbietern sein, aber das stimmt so nicht. Das ist nicht öffentlicher, als eine private Cloud mit einer öffentlichen URL.

bei manchen Cloudanbietern mag das so stimmen, bei Google definitiv nicht;

da kanns schon mal vorkommen: "He ihr komiker wir haben da Dokumente, könnt ihr das mal für uns analysieren",

und schon sind Inhalte wo, wo sie definitiv NICHTS verloren haben;

Zitat von H6G

Mal abgesehen davon, dass es Schließzylinder gibt, bei denen man die Schlüssel nicht nachmachen kann,

und den Erfinder solcher Schließsysteme habe ich alle Achtung;

nur weil man ohne Schlüsselkarte die nicht nachmachen kann - wenn man aber mal darüber nachdenkt,

wenn jemand soweit gekommen ist, dass er sich da einen Schlüssel nachmachen läßt, dann ist eh schon alles zu spät ...

weil dann hat er ja bereits einen Schlüssel und kann bei Dir reintanzen wie es ihm beliebt

wobei hier gilt denk ich mal das gleiche "Gesetz" wie bei RSA, Bankkarten-PINs, u.a.m.

kann ausgeschlossen werden, dass 2 Webserver nicht wissentlich doch den selben private Key verwenden?

ich würde meinen, Nein;

ebenso würd ich mal behaupten

es laufen im Berliner od. Nürnberger Hbf tägl. soviele Leute vorbei wo gesichert folgendes gesagt werden kann:

"mind. 3 weitere haben den selben PIN bei der Bankkarte"

und bei den Zylindern und den dazupassenden Schlüsseln wär es ganz was neues wenn des echte Unikate wären;

das macht es aber nicht unsicherer; weil was nützt Dir die Kenntnis, wenn ich den gleichen Wohnungsschlüssel wie Mister X hätte?

Zitat von H6G

Wenn ich kein lohnenswertes Ziel bin, wo ist dann das Problem mit Schlangenöl?

ist wie Streusplit f. Pinguine; vor der RAK ist derart viel gestreut, dass Du bei Glatteis garantiert mit dem Gesicht bremst;