Hoiatus: Pidgin salvestab salasõnad tavalise tekstina!

[spott]

Unixmen on avastanud ühe olulise turvaprobleemi populaarses sõnumiprogrammis Pidgin. Niumelt selgus, et Pidgin salvestab oma paroolid kõik tavalise tekstina accounts.xml faili. Seega saab need sealt iga üks lihtsalt ja ilma igasuguse vaevata kätte.
Hetkel võimalikeks lahendusteks on - kas salasõnasid mitte salvestada või siis kasutada Master password patchi. Viimase paigalduse õpetus Ubuntule.

Allikas Unixmen

[olavsu1]

tahaks näha seda tüüpi kes selle info sealt kätte saab.

linux pole windows.

selle saab vaid siis kätte kui logitaks minu nime ja passiga süsteemi sisse. see tüüp peab füüsiliselt tulema minu arvuti taha.

[spott]

Samas on tegu tavafailiga, millele iga üks ligi pääseb, kui ta uba korra su arvuti taha on saanud.
Ja Pidgin on olemas ka Windowsile muideks....

[mihkel]

Pidgin on nii salasõnu salvestanud juba aegade algusest saati. See on ka põhjus, miks ma teda ei kasuta. Minu masinates kehtib selline poliis, et mitte ühtegi salasõna ei tohi kettal krüpteerimata kujul vedeleda.
Aga eks oma masina(te) anaalsuspoliisi kehtestab igaüks ise

[sander85]

kui juba korra arvuti taha saadud, siis saab sealt palju rohkem kätte kui mõne pidgini parooli

aga jah, ega ta hea pole kui neid sellisel kujul hoitakse..

[olavsu1]

Samas on tegu tavafailiga, millele iga üks ligi pääseb, kui ta uba korra su arvuti taha on saanud.

võimatu, linuxi failiõiguste süsteem ei lase. tollel failil on 600 seega ainult mina ise saan ligi.

arvuti juurest lahkudes tehakse ikka logout

kui pääseks ilma minu nime ja passiga sisse logimatta ligi, siis poleks linuxil mitte mingit turvalisust.

mina pean seda probleemi kriitiliseks vaid windowsi puhul. seal iga viirus sättis kõvaketta kõigile välja jagatuks. mõnel on ilma viirusetagi kõvaketas välja jagatud.

[olavsu1]

Pidgin on nii salasõnu salvestanud juba aegade algusest saati. See on ka põhjus, miks ma teda ei kasuta. Minu masinates kehtib selline poliis, et mitte ühtegi salasõna ei tohi kettal krüpteerimata kujul vedeleda.

ilmselt sul ei jookse mõnd LAMP'i ega ole seal mõnd phpbb foorumit.. seal ju andmebaasi parool täiesti alasti config.php failis

[sander85]

kui pääseks ilma minu nime ja passiga sisse logimatta ligi, siis poleks linuxil mitte mingit turvalisust.

no kui kastile ligipääs olemas, siis linux single ja voila selle vastu aitab muidugi partitsioonide krüptimine, kas seda keegi teeb, see on juba enda teha..

[mihkel]

Pidgin on nii salasõnu salvestanud juba aegade algusest saati. See on ka põhjus, miks ma teda ei kasuta. Minu masinates kehtib selline poliis, et mitte ühtegi salasõna ei tohi kettal krüpteerimata kujul vedeleda.

ilmselt sul ei jookse mõnd LAMP'i ega ole seal mõnd phpbb foorumit.. seal ju andmebaasi parool täiesti alasti config.php failis

Muidugi mitte. Milleks mulle mingi foorum

[olavsu1]

kui pääseks ilma minu nime ja passiga sisse logimatta ligi, siis poleks linuxil mitte mingit turvalisust.

no kui kastile ligipääs olemas, siis linux single ja voila selle vastu aitab muidugi partitsioonide krüptimine, kas seda keegi teeb, see on juba enda teha..

jah kui on. kuid traate mööda??? häkkerid ei hakka ju uksi lõhkuma et kastile ligi saada.

[-ordi-]

Sama hea, kui Ubuntus unustad oma parooli ära, kuidas siis ikkagi Ubuntusse pääseda?

ls /home, saad kasutajanime teada, ning siis käsk passwd "kasutaja", peale seda määrad uue parooli kasutajale, aga see on ainult siis võimalik kui oled vastava masina taga, ja passid root õigustes.

[spott]

Kui tegu oleks olulise turvaprobleemiga, siis oleks kisa palju hullem.

Kuid samas on tegelikult siiski olulise infoga nendele, kellel arvutis mitmed pidgini kasutajad.

[olavsu1]

Kui tegu oleks olulise turvaprobleemiga, siis oleks kisa palju hullem.

windowsi jaoks ongi hull asi. kuid eks need seal kasuta msn messengeri mitte pidgini.

[urmas]

Rahu, ainult rahu..

See "pidgin/gaim salvestab plaintext passworde" paanika käib iga natukese aja tagant...

http://pidgin.im/pipermail/devel/2007-June/001530.html

and so on and so on...

Põhjendus on siin http://developer.pidgin.im/wiki/PlainTextPasswords

[wk]

no kui kastile ligipääs olemas, siis linux single ja voila selle vastu aitab muidugi partitsioonide krüptimine, kas seda keegi teeb, see on juba enda teha..

"linux single" ei aita, kui lilo/grub parooliga kaitstud ning debianis nõuti mu mäletamist mööda isegi siis root-i parooli, kuis single-mode üles tuli.

Järgmiseks aitaks buutimine väliselt meedialt, selle kaitseks omakorda BIOSi seadistamine ja parooliga kaitsmine.

Järgmiseks tuleb juba arvuti avamine Ja kui murdjal juba nii palju aega on, siis jääb kaitsjal üle loota failisüsteemi või selle osa krüptimisele.

[johnsmith]

no kui kastile ligipääs olemas, siis linux single ja voila selle vastu aitab muidugi partitsioonide krüptimine, kas seda keegi teeb, see on juba enda teha..

"linux single" ei aita, kui lilo/grub parooliga kaitstud ning debianis nõuti mu mäletamist mööda isegi siis root-i parooli, kuis single-mode üles tuli.

Järgmiseks aitaks buutimine väliselt meedialt, selle kaitseks omakorda BIOSi seadistamine ja parooliga kaitsmine.

Järgmiseks tuleb juba arvuti avamine Ja kui murdjal juba nii palju aega on, siis jääb kaitsjal üle loota failisüsteemi või selle osa krüptimisele.

Grub peaks olema salasõnaga kaitstud vaikimisi asendusel paraku on kõik kastid vähemalt mida mina näinud olen ilma salasõnata. Debiani ei tea aga Ubuntu igatahes ei taha mingit root salasõna single modes.
Grubi mittekaitsmine salasõnaga muudab mõttetuks salasõnade kasutamise üldse winnis peab vähemalt natuke vaeva nägema, et admini salasõna ära vahetada no muidugi mitte palju.

[sadiini]

Oeh!
Kui arvutile füüsiliselt ligi saadakse, siis saadakse ka info kätte v.a. siis, kui ta piisavalt karmilt krüptitud on.
Minul on näituseks kõik salasõnad vabalt kettal vedelemas ja varukoopia on mul trükitud paberile (sarnaselt pankade koodikartidega).

Juhul, kui midagi koledat juhtuma peaks, siis võtan kätte paberi ja veedan 10 min pääsukoode muutes.

Ainukesed koodid, mida kusagile üles tähendatud ei ole on kettal olevate krüptokaustade passid.

Kui keegi ka minu IM suhtluskoodid ära peaks hõivama ei juhtu sellest midagi pääsmatult koledat.

[zaxon]

positiivne on selle loo juures siiski see, et sellest teavitatakse ehk teadlikkus võimalike ohtude ees ongi see võti, mis hoiab tundliku info kaitstuna. täpselt nagu kirjutavad Pidgini tegijad ise seletuseks - parem otseselt turvamata lahendus, millest kasutaja on teadlik ja arvestab sellega, kui poolikult turvatud lahendus, mis tekitab võltsi turvatunde.