Lykilorðamistök

Um daginn gerðist það hér á blog.is að lykilorð allra notenda voru sýnileg á bloggum þeirra um nokkra stund. Ég veit ekki nákvæmlega hversu lengi það varði, en það getur varla hafa verið svo drjúg stund. Þeir sem reka vefinn brugðust við með því að gera það eina sem hægt var í stöðunni; endurræstu öll lykilorðin og sendu notendum ný lykilorð í tölvupósti.

Auðvitað geta allir gert mistök, og þó þessi hafi verið í alvarlegra lagi eru þau fyrirgefanleg. Það er hins vegar eitt sem ég skil ekki. Nokkuð sem er lítt fyrirgefanlegra. Þarna fékkst smá innsýn í innviði bloggkerfisins, og ég get ekki séð að mér líki við þá. Málið er nefnilega að skaðinn af þessum mistökum hefði verið miklu mun minni ef blog.is notaði eðlilegar aðferðir við vistun lykilorða.

Það er nefnilega engin ástæða til að geyma lykilorðin sjálf í innskráningarkerfi. Reyndar er slíkt það óalgengt að ég geri alltaf sjálfkrafa ráð fyrir að það sé ekki gert hvar þar sem ég skrái mig sem notanda. Því eru það mikil vonbrigði að komast að því að þau eru vistuð hrá í gagnagrunni blog.is.

Hér kemur stuttleg tæknileg lýsing á því hvernig þetta er venjulega gert. Þeir sem hafa ekki áhuga á slíku geta sleppt þessari efnisgrein. Til að komast hjá því að vista lykilorðin sjálf má framkvæma á þeim ákveðna aðgerð sem heitir hökkunarfall. Þessi aðgerð er þess eðlis að hún varpar textastrengjum (það er að segja runum af stöfum) yfir aðra textastrengi með þeim hætti að nánast ógjörlegt er að finna upphaflega strenginn út frá þeim nýja. Hér er dæmi: Segjum að lykilorð mitt á einhverjum vef sé 'dvergakast'.  Í stað þess að vista 'dvergakast' beint sem mitt lykilorð framkvæmir vefurinn hökkunaraðgerð á orðinu; fær út 'da39a3ee5e6b4b0d3255bfef95601890afd80709' og vistar það. Þegar ég vil skrá mig inn á vefinn framkvæmir vefurinn hökkunaraðgerð á því sem ég slæ inn og ber niðurstöðuna saman við það sem er vistað í grunninn. Ef sama hökkunargildi kemur út úr því sem ég slæ inn og það sem er vistað í grunninn er litið svo á að ég hafi slegið inn rétt lykilorð. Athugið að fræðilega mögulegt er að skrá sig inn með einhverju öðru en alvöru lykilorðinu, svo lengi sem hægt er að finna annað orð sem gefur sama hökkunargildi og það. Hökkunarföll eru hins vegar hönnuð þannig að mjög erfitt og tímafrekt er að finna eitthvað gildi sem gefur eitthvað ákveðið hökkunarfall, þannig að tæknilega séð skiptir þetta ekki máli. 

Hönnun hökkunarfalla eru mikil fræði út af fyrir sig, og hökkunarföll hafa ýmis konar notagildi önnur en örugga vistun lykilorða. Þeir sem vilja vita meira geta hafið lesturinn hér.

Ef blog.is notaði hökkunarfall til að vista lykilorðin hefðu einungis hökkunargildi lykilorðanna sést. Þeir sem hefðu viljað misnota sér þessi mistök hefðu því ekkert fengið í hendurnar sem þeir hefðu getað notað strax og fyrirhafnarlaust. Þetta er staðreynd sem ekki er hægt að horfa framhjá. Engin rök eru fyrir því að vista lykilorðin hrá, nema þau að með því móti má senda notendum lykilorðin ef þeir gleyma þeim. Það eru þó afar veik rök, þar sem einfaldlega má endurræsa lykilorðið þegar slíkt gerist og senda notandanum nýja lykilorðið, eins og gert var þegar umrædd mistök áttu sér stað. Því eru engin alvöru tæknileg rök fyrir því að blog.is visti lykilorð notenda sinna hrá, og ég vona að sú stefna verði hið snarasta tekin til endurskoðunar.

Athugasemdir

[Þarfagreinir, 25.2.2007 kl. 15:43]

Nei, það er víst rétt. Ég hef alla vega hvergi séð afsökunarbeiðni.

[Enginn sérstakur 7.3.2007 kl. 10:02]

Ég tel að þessi mistök séu hreint ekki eins léttvæg og maður gæti haldið í fyrstu.
Mig grunar nefnilega að mjög margir séu með sama eða svipað lykilorð fyrir allt sem þeir gera á Netinu, t.d. tölvupóstinn sinn og, það sem verra er, heimabankann.