This topic created in 3275 days ago, the information mentioned may be changed or developed.
 |
yufzNov 15, 2017
1
并不能
|
 |
just1Nov 15, 2017 via Android
2
大部分的厂商都有这个功能啊，比如 google
|
 |
3
@jinyang656 为什么？如果是 hash 过的密码，他怎么检测？
|
 |
hyperdak288Nov 15, 2017
5
hash 过密码一样能检测。。
你再想想 |
|
6
@hyperdak288 hash 过的密码是不可能检测的，除非去拿弱密码库去穷举。否则，就是 hash 算法有问题
|
 |
6IbA2bj5ip3tK49jNov 15, 2017
8
不能，G 家和 MS 都有这个功能，甚至还会提示你新密码和之前的密码重复。
|
|
10
@xgfan 新密码和老密码重复很好判断，hash 值一样就行了。G 家和 MS 可没有检测你现有账户的密码安全功能，只是在你修改密码是，他会检测一次，不合规不让设置
|
 |
misaka19000Nov 15, 2017 via Android
11
很简单啊，把密码做一下 hash 和之前的 hash 值比较一下不就行了，这和明文有什么关系？
|
 |
qiayueNov 15, 2017
12
 我猜 QQ 的这个功能是在你每次修改密码时检测一遍密码强度，然后保存下来了，而不是你每次打开页面的时候实时去检测你当前的密码 |
 |
wy315700Nov 15, 2017
14
在你登录的时候检测不就行了
|
 |
imn1Nov 15, 2017
16
|
 |
geelawNov 15, 2017 via iPhone
17
当然不能证明，比如已经有人说了可以在登录的时候检查
|
|
just1Nov 15, 2017 via Android
18
1.理论上所有厂家都能存明文，就算把代码和库公开你也能说是处理过的
2.不用想象得那么黑暗 |
1 |
dawn009Nov 15, 2017
20
这年头谁也别信。老老实实一帐一密。
|
 |
24
稍微上点规模的公司，造个库有多难，写好算法让程序自己跑，一个库一天时间都不用。
还有，楼上说的加盐之类的，都不需要去讨论。弱密码库肯定是用相同算法做的，不存在不能比对的问题。 当然，这种方法是最简单粗暴的，腾讯这种体量的公司，更高层次的方法毫无压力。所以说，不要拿个人开发的视角去看企业的开发，你觉得很烦的事，在企业开发角度上往往是最简单有效的。 |
|
hyperdak288Nov 15, 2017
25
@wenhaoy 穷举多大事阿，腾讯是买不起硬盘存数据还是买不起 CPU/GPU 穷举了
|
 |
dotNov 15, 2017 via Android
26
检测密码强度的话，在你的密码转 hash 前检测一个强度结果，存起来，你每次访问都告诉你这个，就可行啦，不需要知道密码嘛~
|
 |
28
腾讯以前找回密码的时候，即使填历史密码的片段，注意，是片段，也能找回成功。我用这种方法申诉，当时只填了历史登陆地点和历史密码的中间一个片段，居然成功了，所以从那开始我也怀疑腾讯是不是明文存储密码。
但是找不出其他什么强力证据来解释。希望腾讯官方什么时候能出来解答一下这些疑惑。 |
 |
f2f2fNov 15, 2017
29
这个检测是本机 js 检测的，你以为是回传到服务器做检测的么？
|
|
30
@hyperdak288 我自始至终没说这是一个“大事”啊。刚看了腾讯去年的财报，我觉得应该可以买的起硬盘，也能买的起 CPU/GPU
|
 |
TokinNov 15, 2017
31
或许是自己的一套加密算法，然后支持解密。。。。
|
|
32
|
|
34
|
 |
tscatNov 15, 2017
36
人家自己碰撞一次就知道了呗
|
 |
am241Nov 15, 2017 via Android
37
一个思路：在库里查一下相同 hash 的人有多少，大于一个值之后就提示密码强度太弱
|
 |
IllBeBackNov 15, 2017
39
楼上各位讨论那么热闹，请问有没有做过登录系统的？
密码当然是明文上传到服务器，然后 hash，最后入库。 在 hash 之前，密码是明文，随便就检查了，如果是弱密码，直接返回 error，如果不是，那就 hash 入库。 |
|
FFLYNov 15, 2017
45
让我想到了，某些 linux 系统，安装的时候，如果设置一个弱密码，他不会不给你装，而是需要 done 两次提交，我觉得腾讯搞个字段记录数据强度是合理的吧。
|
 |
goodboy531Nov 15, 2017
46
主要就是支持解密，有秘钥就可以解密
|
|
47
@FFLY 这个有可能。但是有很多局限，比如某个人在十年前设置了一个仅带字母、数字的密码，系统至非弱密码 0。到现在这可能已经是一个弱密码了。这样的话会误报。
|
 |
LaudOakNov 15, 2017
48
这个估计是有密码更改和对应强度记录
|
 |
kiddultNov 15, 2017
50
@hyperdak288 真买不起，建议你查一下随机盐，除非腾讯真蛋疼的用固定盐，不然没戏
|
 |
BlackCat02Nov 15, 2017
52
@changwei 没人注意到这楼吗？想要做到只提供密码片段就能对比，这恐怕不存储明文做不到吧？
|
 |
TinkNov 15, 2017
53
r 弱密码的 hash 做成一个表然后对比
|
|
IllBeBackNov 15, 2017
54
@wenhaoy 你的链接会跳转，我只能找到这个页面：
https://aq.qq.com/cn2/psw_strength_check/pswcheck_index 这个页面检测密码是要登录的。如果不登录就可以检测密码，那腾讯脑子进水了吧。盗号的先检测一下是不是弱密码，再字典爆破，省事多了。 如果要登录检测，明文密码不就到了服务器吗？ 腾讯推出这个功能后，只要你登录过，你的密码是强是弱，他们就可以记下来了。 |
|
56
|
 |
58
既然说到了快速登录，我认为这是非常一个有问题的功能
今年在办公室里，遇到过一个快速登录的 Bug，我同事的 Mac 居然在打开登录界面的时候，出现了我的 QQ 快速登录头像，当然也可以正常登录成功。后来排查，发现可能处于同一个 Wi-Fi、用了同 WiFi 下一个翻 Q 的 Http 代理。 |
 |
59
要假设都是明文保存，这样就安全了。
|
 |
t123yhNov 15, 2017 via Android
62
腾讯库里面的密码是以 md5(QQ 号 + md5(password)) 这种形式存储的。
手机 QQ 登录的时候，会使用 md5(QQ + md5(password)) 这串数据加密一个数据包，然后发给服务器，而密码不会以其他形式发给服务器。因此服务器肯定存有这个数据，才可解密这个数据包。 |
 |
xifangczyNov 16, 2017
63
不能
|
 |
YinnfengNov 16, 2017
65
哈哈哈 我想说。我的密码 检测结果 和 我点开。检测其他密码 然后输入一样的密码。强度是不一样的。。SO。这是不是能证明。不是明文存储？
|
|
IllBeBackNov 16, 2017
66
|
 |
qinxiNov 16, 2017
67
|
Select Language