[유머] ‘비밀번호 찾기’ 기능이 있는 사이트는 걸러야 하는 이유

[루리웹-죄수번호1]

1. 비밀번호를 알려주는 사이트는 관리자가 비밀번호를 볼수있다는거다

2. 그런사이트는 털리면 죄다 털리니 걸러라

[아론다이트]

요즘은 저런 사이트가 없는거 같아

[🐣RED O]

그러게 요즘 본 적 없네 예전엔 있었는데

[whltnqjsgh]

법으로 금지되서 요즘은 거의 없음
최소한 국내법이나 울나라랑 비슷한 수준의 법제화된 나라의 법 지키는 사이트 중에선 없어야 정상

[캣타워]

21세기도 1/4가 지나가고있는데 아직도 저런사이트들 남아있단게 웃기기 그지없는거지

[폭망의 항아리]

근데 왜 이전에 사용하신 비밀번호는 사용하실수 없다고 뜨는거임??? 찾으려고 하니까 바꾸래서 바꾸면 이전에 쓰던건 어케 알고 딴걸로 하래

[비잔티움으로의 항해]

오히려 안 그런 사이트가 있나?

[루리웹-9453626826]

내부망 사이트면 편하게한답시고 그렇게 한걸 본적이 있긴 함..

[민트진순부먹파인애플피자건포도]

비밀번호는 10자리 이상이여야 합니다.
비밀번호는 대문자, 소문자, 숫자, 특수문자를 전부 사용하여야 합니다.
특수문자중 XX,XX,XX는 사용할 수 없습니다.
비밀번호에 생일 등 개인정보가 포함되면 안됩니다.
이전 비밀번호로는 바꿀 수 없습니다.
과거 사용한 비밀번호로는 바꿀 수 없습니다

[그치만배신자잖아]

크아아아아아아악

[bookkeeper]

벌써 빡치네 아 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

[GoYangE]

+ 연속된 숫자가 포함되면 안됩니다(1234 같은...)

[청송녹죽]

연속된 숫자나 글자 안되는거도 ㅋㅋ

[루리웹-2133574527]

특수문자 넣는거 의미 없다는 연구결과가 있음
비밀번호 바꿀때 결국 비슷한 비밀번호에 123 혹은 abc 같은걸 넣어서 쓰는 사람이 많아서 그렇데

[킹랩터연합]

EA가 이래서 미치겠음

[빵을만들어봐요]

[배고픈데뭐먹을까]

아이디와 동일한 배열은 사용할 수 없습니다!!

[아키로프]

과거 사용한 비밀번호까지 싸그리 데이터베이스에 남아있다는 건가?

[루리웹-8717206684]

[루리웹-8717206684]

그냥 자릿수가 많은게 장떙임

[Rachmaninoff]

그래서 자릿수를 늘리는 게 훨씬 효과적이라던데

[비모범시민]

구글도 저짓함

[청새리상어]

이거 네이버가 전에 이랬었는데 비밀번호 툭하면 털렸다고 바꾸라고 ㅈㄹ했었지.
암호화 방식 바꿨다는 말 들린 이후로는 그런 일 거의 없었는데 아무튼 털릴때 마다 비번 바꾸다보니 비번이 괴상해져서 미칠가같음

[성우서현아바이]

대문자가 젤 짱남

[슈레페이레]

암호 바꾸는 단계에서는 현재 저장된 암호가 기존 암호지
보통 그렇게 바로 전에 쓴 암호는 쓰지 말라고 막음

[시즈마루]

과거 사용 비번이 제일 악질임 ㅋㅋ 계속 새롭게 만들어야함

[오블락 파는호갱]

내 계정들 비밀번호가 딱 특문까지 넣으라고 했던 그 시절 유물이네 ㄹㅇ...

하도 익숙해져서 무감각하게 입력해왔지만...

[젤리삐씨]

과거꺼 암호화해서 저장해둔거로 비교함

[-인생은타이밍-]

애플 ㅆㅂ라!!!!
비번 잃어버렸는데 1년전에 사용했던거라고 사용 못하게함 ㅋ아오

[雪風 Maive]

특문과 비슷한 강도를 맞추려고 길이를 늘리는거.
문제는 길이가 길어지면 질수록 사용하는 단어가 단순해지고 사용자의 오타가 증가함.
실제로 비밀번호 규칙을 복잡하게 하면 할수록 사회공학적 방법에 취약해진다는 연구결과도 있었음.
비밀번호 외우기 어렵고 비밀번호 공유를 위해서 어딘가에 적어서 보관하거든.
그렇다고 단순하게 하면 비밀번호 자체가 취약해짐.
OTP와 같은 2팩터 이상의 인증은 사용자 불편을 가중시킴.

[지니란]

이거 ㄹㅇ임 암호화한 비밀번호는 풀수 없게 만들어야 하는데 암호화됐는데 그게 복호화되어 문자열로 보여진다면 그 사이트는 언제라도 해킹되어도 무방한 사이트임

[루리웹-5840815799]

예전 오유

[ABBCCC]

확실히 요즘은 죄다 재설정이긴 하네

[Epoche]

비번 알려주는 홈페이지가 위험한 이유 와드

좋은 정보 고마워요

[Lmjfemc]

기능이 없어도 보관할 수 있기 때문에 비밀번호를 같은걸 쓰는걸 최소화해야함

[By1uck]

그럼 이전비밀번호와 과거사용한 비밀번호는 어떻게 아는거죠?

[진석이]

암호화된 코드는 있으니 그걸로 비교하는거

[Lmjfemc]

해시로는 남길 수 있으니까

[미으]

비밀번호 변경할때 이전 비밀번호를 다른 쪽에 보관해 놓고 있는거 물론 그 비밀번호도 단방향 암호화로 되있음

[By1uck]

아하

[루리웹-9779678125]

그게 뭔진 몰라도 같은건지는 알수있잖아
그걸 db에 갖고있는게 적법한지는 따져봐야겠지만

[Salaman]

쉽게 말해서 키 구멍 만들어 두는거라 생각하면 됩니다
과거 사용한 거는 키 구멍 만든걸 남겨두는 거고요

그럼 사용했는지 키(패스워드)로 만든 키 구멍에 다 시도해보고 열리면 과거 사용했던거인지 알 수 있겠죠!

[Salaman]

적법합니다. 복호화가 안되어서요
10자리라고 가정했을 때도 찍어서 맞추려면 경우의 수가 5천만분의 1인가 그럴거에요
그리고 찍어서 맞추는 걸 방지하기 위해 몇회 이상 실패 시 일정 시간 접속 금지 혹은 계정 잠금을 해버리도록 합니다

[청송녹죽]

요즘은 저런 사이트 찾기가 어렵긴 할듯
아마추어가 만들어도 상용 개발툴이랑 db 쓰면 기본 제공되는 기능일거라
근데도 저런 방식을 쓰면 진짜 사기치겠단 소리로만 보이지.

[Love in Love]

근데 내가 저번&저저번에 쓰던 비밀번호라고 말하는건 뭐임?

[코딩노예48]

그건 양방향이나 평문 없이도 구현가능하긴 함
암호화된 이전 비밀번호를 저장해두면 되는거니까
왜 하는진 모르겠어

[풍야4]

해쉬 값은 저장하고 있을 테니까?

[혈혼귀렵]

숫자 비교해서 저번, 저저번이란 같네 안됨 이겠지

[버거머거용]

오히려 비밀번호 사용규칙만들고 뚫기더쉬워졌다나 머라나. 보안에 아무도움 안됨

[algorithm.h]

예전에 예비군 사이트인가가 비밀번호 ㅎ학인이 가능했던거 같은데

[루리웹-3096984951]

하긴 생각해보니까 요새 사이트들은 비밀번호 찾기하면 그냥 메일로 링크걸어주고 새 비밀번호 파셈 이러는구나

[복슬복슬성애자]

잠깐, 그러면 기존 비밀번호는 재사용할수 없다는곳도 ㅅㅂ 내 비밀번호 기록을 다 가지고 있다는말이네??

[루리웹-9453626826]

그렇긴 한데, 본문의 내용이 제시하는 문제는 평문으로 유저에게 암호가 전달되는게 문제.
외부에서 데이터 조회가 가능하단 뜻이거든

[🐣RED O]

이전 암호랑은 해시값이 동일할테니까 재사용 못하는거겠지

[슈레페이레]

암호 바꾸는 단계에서 저장된 현재 암호가 기존 암호지
현재 저장된 암호를 바꾸는건데 새 암호와 비교하니 같으니
바꾸라고 할 수 있지

[복슬복슬성애자]

아하 고마워

[복슬복슬성애자]

고마워

[복슬복슬성애자]

감사

[병영]

[슬러렁타령]

이거 항공사 홈페이지가 많이 이러더라 ㅋㅋㅋ

[루리웹-8717206684]

알려준다쳐도 전체를 다알려주진 않지않나?

ㅁㅁㅁㅁ@@@ 이런식으로 뒤에 몇자리는 가리던데

[Taurine powered]

보통 아이디 찾기에서 아이디 일부만 알려주고 비밀번호는 재설정일텐데
그리고 그런식으로 뒷자리 가린다 쳐도 이미 니 원본 비번이 서버에 저장돼 있다는 소리라

[기무라탈리야]

일부를 알고 있다는 건 전체를 알고 있다는 말이기도 하지 ㅎ...

[슈레페이레]

일부라도 그걸 왜 알 수 있는데? 가 되는거지
전체를 알고 있으니 부분을 가려서 알려준다는거니까

[아미]

일부만 알고 있어도 문제임 ㅇㅇ

[루리웹-9348308658]

'무조건 그렇게 하도록' 법적으로 정해진걸로 압니다.
문제는 이걸 적발하려면 내부고발밖에 없어서;;;

예전에 어느 조그만 쇼핑몰 손봐주러 갔을때 DB 훑어봤는데 비밀번호 평문으로 저장된거 수백개를 봐버렸......

[루리웹-9348308658]

그걸 외울수는 없었는데

'asdf1234'를 비번으로 쓰는사람 있더라고;; 눈에 확들어와서 기억함

[카렐]

키사에서 실사나가야하는데 특정업종밖에 안해서 ㅋㅋㅋ 그나마 요즘 ISMS덕에 범위가 많이 넓어진게 다행이라면 다행인데...

[오블락 파는호갱]

그런건 흔하잖음

군대에서 q1w2e3r4라던가...(그나마 폐쇠망에 가까워서 망정이지)

[키쥬]

그러고보니 아이디는 알려주는 사이트는 있어도
비밀번호를 알려주는 사이트는 본 기억이 없군

[Lapis Rosenberg]

평문으로 저정하던시절도 안갈쳐줬는데
개인사이트들이 저러나

[아미]

아주 오래 전에는 많이 있기는 했어 요즘은 법때문에 거의 없어졌지.

[기회를위기로]

위험하다 어쩌다를 떠나서 불법임

[루리웹-8866568050]

아하 왜 항상 비밀번호 재설정이야 귀찮게 라고생각했더니 이런 문제가 있었구나

[Sithis]

그런 사이트가 존재할까봐 덜유명한곳 가입할땐 막쓰는 비번사용하긴하는데

코드 뜯어보지않고선 어떤식으로 비밀번호를 넣었는지 알수가 없으니 뭐

[Lapis Rosenberg]

암호가 단순하면
단방향 복호화 사전에서 찾아서 뚫는다

[루리웹-9348308658]

그래서 보통 비밀번호를 랜덤 임의로 바꾸고 메일주소로 임시비번 쏴주죠.

[니라민]

요즘은 다 보안 패키지 들어가서 드뭄 아주 오래된 레거시 사이트나 남아있으려냐

[루뜸]

참고
페이스북도 한때 비밀번호를 평문으로 저장했었다

바뀐지 얼마 안됐음

[아무도날막을수없다]

진짜 허접한 외국 사이트조차 비번안알려주고 바꾸라고하더라

[모조마스크]

예전에 psn에서 패스워드 평문 저장으로 난리 났었지 ㅋㅋ

[루리웹-0239970486]

비밀번호 찾기라는 메뉴를 예전부터 썼고
아이디 찾기랑 같이 배열하면 보기에 좋으니 쓰는듯
요즘은 찾기 눌러도 비빌번호 재설정하거나
임시비번 보내고 재설정 페이지로 강제로 보내거나

[Bismin]

난 비밀번호 외우는건 네이버랑 게임밖에 없어서 나머지는 로그인할때마다 재설정...

[디트리히폰베른]

오..난 왜 비번알려주면 되지 왜 재설정하라는거야..라고 짜증냈었는데 그러면 안되는 거구만

[그놈의닉네임]

그럼 우연히 전혀 다른 문자열도 암호화 이후 비밀번호와 같은 값을 가지면,
비번과 다른 문자열로도 로그인 할 수 있다는 거임?

[기무라탈리야]

옛날엔 그랬을지도 모르지만 지금은 그래도 각 글자마다 유니크하게 바뀔걸

[기회를위기로]

이론적으로는 그런데
확률이 거의 없음

[루리웹-6154919885]

뭐 아주아주 낮은 확률이라 사실상 무시해도 될걸
원숭이가 키보드를 꽝 하고 때렸는데 Hello World!가 나오는 거랑 같은거라

[루리웹-사이사오사일오일구]

해쉬의 특성 중에 충돌회피성이란게 있음 한번 해쉬의 특성 검색해봐

[雪風 Maive]

가능함. 해시충돌이라고 함
해시 알고리즘 발전이 그걸 해소하기 위해서 지속적으로 발전해왔기때문에 현재에 와서는 확률은 꽤 낮은 상태이기는 함. 해쉬 충돌에 가장 취약하다고 알려져있는 MD5만 해도 1.47*10^-29 의 해시 충돌 확률을 가짐.
문제는 이게 CPU나 GPU의 연산력에 비해서는 꽤 낮은 수준이라는게 문제임.
그래서 우연은 매우 힘들지만 의도적으로 충돌이 나는 입력값들을 찾는 것은 가능함. 그렇게 비밀번호 해킹도 되는것이고

[기무라탈리야]

나는 그냥 구글 파이어베이스로 문자인증 하게 개발했는데. 구글 이것들이 문자를 구글 본사에서 보내는건지 항상 국제전화로 문자인증을 해서 사람들이 안믿더라고 ㅅㅂ

[카렐]

해외사이트들은 저런식으로 돌아가는데가 제법많음. 특히 옛날 포럼들이 저런식이라 비번털렸다하면 걔네가 범인. 물론 걔네 사이트들도 비밀번호 리셋하는데 털리고보면 그놈들이 범인임ㅋㅋㅋㅋ

[멸치칼국수]

그룹웨어같은건 강제로 특정 패스워드로 바꿔주긴 함
비밀번호 123456에 해당하는 암호화 후 값이 70이면 그냥 db 패스워드 쪽에 70 박아버리면 패스워드는 123456이 되거든

[나오]

1. 단방향 방식이나 휴대폰 인증으로 로그인 하는 게 아닌 경우 모든 사이트는 비밀번호를 들고 있다.
2. 운영자는 암/복호 로직을 모르니 비번은 들고 있어도
비번이 뭔지는 모른다.
3. 그러나 암/복호화 로직도, 암호화되어 DB에 있는 비밀번호도 접근 가능한 사람은 비밀번호를 알아낼 수 있다.
4. 평문이 아닌 암/복호화가 기본이 된 상황에
비밀번호 찾기 보다 초기화하는게 더 편하므로(개발하는 입장에서) 초기화로 넣어놓기에 비밀번호 초기화 된다고
암호가 디비에 저장되는지는 사용자가 알 수 없다.

[whltnqjsgh]

리플 써 준 내용이 틀렸다는 건 아니고 1 번에 좀 보충을 하자면
울나라나 미국이나 일본 혹은 비슷한 정도 나라들은 단반향 암호화해서 저장하도록 법으로 규정하고 있기 때문에 원칙적으론 복호화 가능한 사이트는 없어야 정상임
물론 사이트가 법을 지키고 만들어졌는 지 아닌 지는 사이트 이용자가 알 수 없기 때문에 과신은 금물이고

[나오]

정규 프레임워크 보안 모듈만 써도 대부분 단방향 비번으로 저장되는데
보면 그걸 귀찮았는지 바빴는지 고객이 요청했는지
아무튼 무슨 이유에선지 안써서
양방향 구성하는곳이 드으으으물게 있더군여 ㅠㅠ

[어뷰즈머신]

사이트마다 한 두 글자씩 비번을 다르게 하고 + 2차인증 하면 큰 문제 없음