Pracujeme na autorizaci pro aplikaci v Blazor/.NET a už se to s námi táhne pěkných pár týdnů a valí se to před námi jako solidní blok. Je tady někdo, kdo má zkušenosti přímo s tímto? V podstatě si nevíme rady, všecko se tváří, že je jak má, ale asi se nám něco nepovedlo :) Kdyžtak pošta, díky!

DELVIT: Díky, užil jsem si.

A šéf nakonec vyměkl. ;)

MICRO: užij si dovolenou, doufám, že budeš mít klidný a krásný výhled do zeleně :)

Kolega prehledl chybu v PR a sype si popel ma hlavu:

For such lapse of judgement, I should be promoted to customer.

OT:
Přes půl roku pracuji na věci, která do nemalé míry překopává celou codebase, a dnes mi šéf píše:

Už se těším až si vyložím nohy na stůl a vypnu telefon. :)

FRAKIRA: Vidim, ze jsi vytrvala :-) Dej mi tyden, ozvu se Ti. Treba se dohodneme.

(Ani tady neni nekdo, kdo by stal o pomoc neprijemne dukladne testerky se svym soukromym projektem? (ne hra ani nic podobneho, kde je mozne se ztratit))

SATAI: timeout reaching https://xn--nco-0ra/n%C4%9Bco?token=token_ktrej_te_tam_autorizuje

login failed, invalid user Mojetajnyh3sl0

..

TOOMIX: A co teprve když jsou ty logy u webu pod document_root a jediná "security" je, že jsou pojmenovány ve formátu errors-2012-06.log, což určitě stačí, protože přece nikdy nikoho nenapadne na takovou url přistupovat.

TOOMIX: autorům utrhat křidýlka i nožičky

A co teprve logování nepovedených pokusů o přihlášení: "Uživatel 'Franta' se neúspěšně pokusil přihlásit heslem 'hesloFrantq'", ze kterých se da při překlepu to heslo vydedukovat. K tomu je pak celý bcrypt, pbkdf2 atd. k hovnu :)

MLEKAR_STEIN: Plaintext je jenom jedna část toho problému. Ta druhá část je, že na to ani nebyl potřeba select v databázi. Admin se prostě přihlásil do systému zákazníka a mohl vidět heslo i e-mail libovolného účtu jen tak prostě v UI. Což odhaduji v tu dobu klidně mohlo být 50 lidí s admin přístupem. No a jestli to měli stejně i zákazníci v roli pod-admina tak to jsou další stovky. Přičemž ty účty jsou i cizí a náhodní lidé. Nikoliv pouze zaměstnanci u koho vidíš hesla. A lidi prostě mají stejná hesla všude. A v tu dobu dvoufázové přihlášení moc nebylo rozšířené. Já jsem viděl heslo v plaintextu a to jsem o to ani nestál... jenom jsem si rozklik detail účtu.

MLEKAR_STEIN: byvalej kolega daval do plonkovnich databazi na testovani hesla typu "nereknu" nebo "noprostenevim". Takze bylo vtipne, kdyz prisel novej kolega a zacal se ptat po hesle ;)

FARIN: mě nevadí hesla v plaintextu, to holt některý systémy maj.
mě vadí, když mi někdo v tomhle úplně zbytečně lže.

JARDABEREZA: nejmenovaná společnost, krerá má jako motto "pomáháme modernizovat státní správu" má hesla v plaintextu pořád. a ještě o tom lžou. a když jim ukážete select z db, tak tvrdí, že ro není mozný.

MLEKAR_STEIN: hehe, kolega prej 'pujc mi svoje heslo na vsphere' a ja se zacal kroutit 'nooo... ee.... viiiis... to jee... eee... do domeny, to nemuzu' ;)

KLEINZACH: roky jsem používal "kurvadoprdelepičapespráce" a.měl v tom někde čísla a znaky.
a jednou jsem to musel někomu předat (předaval jsem práci nastupci) a ten jen zvedl obočí a zeptal se "až tak" a na to jsem odpověděl "jo"
alé nastoupil :)