国内大公司都是如此没安全意识么？

[octref]

前段时间的 XCodeGhost 事件，然后这回网易...

MD5 存密码不是和明文差不多了么。好歹加个 Salt 吧...

作为一个国外大学读本科的学生，要我来做我都会选 SHA256 + Salt, 网易是真的连这个都不懂的人在写 backend service 么？ 没有专门的人负责 security 么？ 没有 security audit 么？ 一个亿的用户的资料啊...

虽然这次没有其它公司，但是前段时间 XCodeGhost 的一大列...

以后有点不想回国了 T T

[ritianhuang]

完了一群中共国底层码农要高潮了

[loading]

利用明文泄露的库，加上保存的盐，可快速算出一个新的彩虹表，然后再对比即可。

除非你的密码都是 lastpass 那种，而且位数超长，不然必然有很大几率和其他人相同。

[ty0716]

网易邮箱不是今年才开发出来的,发现问题的时候已经没法更改[或者难以更改],除非每个用户登录检测是不是用的 md5(pwd+salt),提示必须修改.否则无法登录。

[Ansen]

不是没安全意识~是技术在进步，岁月是把杀猪刀~

[sutking]

古代时候给皇帝建造陵墓的工匠们都有一个就秘密通道的习惯，为什么？

[moe3000]

backend service 什么意思啊， security audit 什么意思啊？能不能说中文啊

[yaxin]

这 B 装的

[MrEggNoodle]

@sogisha 非常感谢你告知这么多关键词。

[janxin]

历史遗留问题而已，网易那套 USR 估计几百年没人敢改....

[66beta]

既然能脱裤，那我用自己的账号做测试， salt 不也分分钟测出来？

[slixurd]

@66beta salt 都是明文保存的，如果是密码后面拼接一个固定字符串，那不叫 salt 。

[visonme]

在国内相对来说，很多小公司产品安全意识是很薄弱的。至于大公司说真的出现这样的问题确实不应该，不过也不排除因为历史原因造成的。

国外其实也存在这样的问题，只是情况会比国内的情况好点。

[appppppp]

别的不说，讲中文就好好说中文，英文就好好说英文，别那几个单词拿过来，太装 国外呆那么久，你是见过我们讨论 security 还是 we talk about security 演讲中的中英文混差好好学学吧

[adminsb]

网易公司服务协议: 亲爱的用户，我是你爹

[way2exp]

一次作为技术工程师和客户沟通，
客户只想确保自己系统内金融模块的安全；
客户表示消费者的个人身份信息泄露什么的他们不在意；
当时心里就觉得万千羊驼奔腾而过~

[dai269619118]

优越感爆棚
说的好像国内有什么大公司要招你了一样

[yoa1q7y]

@dai269619118 但是国内公司确实一般，进去了之后才知道， BAT 都很 low ，庸才占大多数

[wuchizhitu1988]

因为大部分用户自己也不在乎..所以厂家也就更没这个意识了..

[SonicY]

apple, ms, lastpass, sony 比你们不知道高到哪里去了, 不照样.

[zhangdawei]

上来一句就是国内大公司，你是喷了多少公司