Пятиминутка ненависти

[dzz]

Итак, сегодня мы ненавидим Dropbox.

Ребята реально долбанулись, потребовав сменить пароль при подключении к эккаунту нового (на самом деле, старого, но после переустановки софта) устройства. Как водится, "для вашей и нашей безопасности" - мол, password expired, и все дела.

То, что после этого закидона мне придётся менять пароль на десятке dropbox-клиентов, никого не волнует. Как и то, что пароль достаточно длинный для исключения возможности подбора. Как и то, что за много лет пользования сервисом он с моих машин и гаджетов ни разу не компроментировался. Безопасность же, нечего тут обсуждать!

Трюк с "поменяй пароль на новый, потом поменяй обратно" не проходит, ибо "You cannot reuse password". Безопасность же, придурок, мы уже говорили!

В общем, спасибо любимому сервису за заботу о моей безопасности, плевать, что не просил, пишите исчо...

P.S. Похоже, не всё так мрачно: пароль используется только при первичной аутентикации нового устройства. Уже зарегистрированные клиенты при соединении после смены пароля авторизуются без проблем. Но всё равно "неаккуратненько" получилось.

Comments

[kholod.livejournal.com]

Поменяй пароль три, шесть, девять раз, - возможно, что есть глубина у истории паролей

[dzz.livejournal.com]

Прямо напомнило "Хочешь узнать, глубока ли кроличья нора?"

Скорее всего, там нет ограничения, база же.

[kholod.livejournal.com]

А попробовать проверить? Зачем им пароли мезозойской эры?

[dzz.livejournal.com]

В данном случае "не хранить" требует большего количества телодвижений со стороны кода, так что вряд ли.

[otawa]

Удоды.

[rblaze.livejournal.com]

Что значит "не компрометировался"? Плохие новости: уже да, у них утечка была несколько месяцев назад.

[lazyboa.livejournal.com]

Меня из других клиентов не разлогинивало, похоже, там хранят токены вместо паролей.

[dzz.livejournal.com]

Ты прав, похоже. Уже залогиненное не разлогинивает, при повторном соединении синхронизация не ломается.

[cat_mucius]

после этого закидона мне придётся менять пароль на десятке dropbox-клиентов
Совершенно не факт. Наверняка пароль используется лишь для первичной аутентификации, а затем каждый клиент обменивается своим собственным ключом с сервисом.

[dzz.livejournal.com]

Да, похоже, там действительно генерятся свои ключи для каждого клиента.
При повторном соединении уже зарегистрированные клиенты авторизуются нормально.