Vlákno názorů k článku Vlna hacknutých účtů na Gmailu se dotkla i Česka od Filip Jirsák - To už záleží jenom na pojmenování. Já bych...

To už záleží jenom na pojmenování. Já bych správce hesel, který zašifrovaný datový soubor synchronizuje přes síť, nenazýval offline.

Vy ten lokální soubor možná máte plně pod kontrolou, to ale neplatí pro většinu uživatelů.

Nějaký web nemusí ověřovat jen vaše (ne příliš složité) heslo, ale může taky ověřovat třeba OTP heslo nebo podpis vytvořený privátním klíčem uloženým na šifrovacím tokenu. To druhé je s offline databází hesel také možné, to první nikoli.

Autentizační mechanismus OpenID taky nemusí být veřejně přístupný na síti. Naopak správce hesel může být síťově dostupný (ať už záměrně nebo chybou). Navíc v dnešní době je offline správce hesel pro pár jedinců, kteří používají jediný počítač. Většina lidí ale používá počítačů několik, tablety, chytré telefony -- a pokud by museli hesla neustále přepisovat ze správce v jednom zařízení do správce v druhém a pátém zařízení, letěl by brzo správce hesel z okna.

Správce hesel provozovaný na počítači uživatele je závislý na tom, že je bezpečný ten počítač. OpenID je závislé na tom, jak bezpečný je provozovatel příslušné služby a jak bezpečně s ním uživatel zachází. Při volbě mezi zabezpečením počítače běžného koncového uživatele a zabezpečením serveru profesionálního poskytovatele bezpečnostní služby bych já na ten počítač koncového uživatele nesázel.

Zatímco v případě správce hesel stačí ztráta jediného hesla a dotyčný je totálně v háji. Tedy v tomto není rozdíl žádný. Jako bonus si OpenID můžete provozovat sám, takže poznámka o šmírování je poněkud mimo.

Zajímavost je hezká, ale nepravděpodobná. Pravděpodobnější je, že tu službu odjakživa zajímalo jen prvních 8 znaků hesla a zbytek byl na ozdobu, a e-mail o omezení hesla na 8 znaků bylo jen uvedení do souladu skutečné implementace a deklarovaných vlastností. Těžko by někdo speciálně nově implementoval omezení délky hesla a ještě pak ořezával heslo zadané uživatelem při jeho kontrole. Jinak pro zajímavost, pouze prvních osm znaků se bere v úvahu při použití unixové funkce crypt, tudíž u nejstaršího unixového formátu ukládání hesel, také v MySQL funkci encrypt() a také v PHP funkci crypt(). Tam někde bych hledal příčinu toho vašeho zážitku.

A proč stránce? Proč ne raději nějaké aplikaci, kterou máte nainstalovanou lokálně a ještě k tomu máte k dispozici i zdrojové kódy?

Ten nástroj pro správu hesel teoreticky taky může fungovat jako webová aplikace a být dostupný odkudkoli, můžete jej používat i na nezabezpečených zařízeních (samozřejmě s rizikem, že unikne to jedno heslo, které jste na zařízení takhle získal).

Nebo pokud cílový web podporuje přihlášení účtem třetí strany (OpenID, Google Account, Facebook apod.), což je alternativa ke správě hesel, můžete se přihlásit i z nezabezpečených zařízení a kompromitace účtu nehrozí (ale během přihlášení samozřejmě zařízení může ovládat účet vaším jménem).

Třebas proto, že je naprosto nereálné, aby si pamatoval jeden člověk tolik silných unikátních hesel, kolik má na internetu účtů. Ta hesla lze uložit nikoliv do stránky, ale schránky, obvykle chráněné master heslem. Na jeho bezpečnosti a schování dat schránky to celé leží a padá. Trochu problém vidím v tom, že tohle se dá používat jenom na zcela bezpečných zařízeních, kde si navíc můžu instalovat svůj software.