Make MV great again

Resumen del hilo:

-Se plantean opciones para revitalizar el foro y mantenerlo a flote, y para migrar en caso de que lo cierren.

-Kaos ya venía hablando con Beavis (antes del hilo) y habla también con Thrazz para hacerse cargo del foro al mando de un equipo de devs. Beavis y Thrazz aceptan y acuerdan reunirse los tres.

-Al mismo tiempo mucha gente se ofrece para ayudar a nivel técnico, económico, con contenido, moderando e incluso comprando el foro.

-RA_MeSiAs nos trae el Himno de Mediavida
-HashAfgano contribuye a la OST del hilo

Historial de reuniones, cambios y otros eventos:

spoiler

Últimos eventos:

-12-7-24: Tras una larga espera, queda inaugurado el Subforo de Política.

Aquí el anuncio de Kaos en este hilo y aquí el hilo abierto en este subforo.

-16-7-24: Recuperada la cuenta de instagram.

Comienza el movimiento.

Hilos relacionados:

Hilos del staff:

Hilos de usuarios:

—————

Aviso: Este hilo es para desde la administración, comentar las novedades que pueda traer la web así como el desarrollo de los acontecimientos de la web con la nueva administración y debatirlos con la comunidad.
No es para vuestras batallitas personales.

EDIT 18.9.2024 Todo post que no cumpla lo de arriba irá con premio.
pelusilla6

#2278 Tienes parte de razón, el problema del hashing es el tamaño de la muestra, en este caso es viable un ataque de fuerza bruta.

Esto se evita utilizando un salt, aplicando una capa de cifrado o usando HMAC. Pero esto trae otras problemáticas como el almacenamiento seguro de las claves.

1 respuesta
Mirtor

#2280 Por eso, lo que tú propones implica asociar el teléfono al usuario, lo que va en contra de lo que decían atrás de que solo se guardara la lista de teléfonos, hasheados, claro, sin asociar al usuario, para que en caso de filtración solo se supiera que el 611111111 es el teléfono de un usuario de mediavida, pero no se supiera de qué usuario en concreto es el teléfono.

Y aparte habría que considerar el tema del derecho al olvido.

#2281 Si le metes sal pierde el sentido, porque el mismo teléfono como input te va a dar un output diferente cuando se intente registrar otra cuenta con él, y ya pierde el sentido de identificar multicuentas.

1 respuesta
MisKo

El tema de guardar esa información en la base de datos es cuestión de hashear el dato con dificultad de sobra para que no sea viable atacarlo por fuerza bruta, por mucho que sepas que es un número de teléfono.

1 4 respuestas
Mirtor

#2283 Con números de teléfono estamos en la zona de instantáneamente o casi. Meter información adicional como decía #2276 lo arregla hasta que esa información se conozca de alguna manera y volvemos a lo mismo.

2
werty

#2270 para qué querría alguien desencriptar los hashes de unos números de teléfono. Si total, puedes marcar números de teléfono al azar de 9 dígitos, para qué quieres desencriptar unos números que ya conoces y puedes marcar aleatoriamente?

Otra cosa es que ese número fuera asociado a una personas/dni/dirección. Pero la idea es tan solo almacenar el número de teléfono y cuando alguien se quiera registrar comprobar si ya está en la bbdd o no

#2283 tardas cinco minutos en desencriptarlo.

Primero te creas tu mismo los hashes de los números de teléfono, porque al contrario que una contraseña, ya sabes cuales son, y luego comparas tú base de números hasheados, con la de MV.
Pero es que no tiene sentido. Porque un número de teléfono es algo que cualquiera puede marcar aleatoriamente, igual que puedes sacar todos los DNIs que quieras, pues son 8 digitos+letra. Es una información en sí que no vale de nada.
O sacar un nombre: Francisco Pérez Jiménez. Qué hago yo con eso si no viene acompañado de más datos?

el principal problema es #2278, borrarlo de la base de datos. Derecho al olvido, fallecimientos...

1 respuesta
Mirtor

#2285 -> #2278

Runig666

#2283 Pero la longitud de un teléfono va a ser siempre la misma, entre 9 y como mucho 12 dígitos. No puedes complicarlo más, aparte, en ambos casos los números a variar son 8 en la mayoría de casos, porque todos empezarán con +34 6. Al menos en MV

Y si añades datos extra pierdes la posibilidad de saber si el teléfono es único o no

Datos extra al azar, sin que tengan un sentido concreto o sean un añadido fijo...porque con un añadido fijo solucionas cero ya que el que lo programe obviamente va a saber dicho añadido fijo

richmonde

#2282 Pero es que vamos a ver... El movil hasheado con SHA256 enmascarando el número como ha dicho @AikonCWD te pones en una cadena que ni con un puto ordenador cuantico sacas la respuesta en esta vida. Y que no hablamos de sacar el numero de nuevo. Hablamos de:

  • Yo me registro y mi cadena (invent) es
    {saf9sag7F8SAfbispaIF7Y896s9a8d},{richmonde},{20090930},{20240416},{99}
  • Me voy del foro, y vuelvo a los meses
    {saf9sag7F8SAfbispaIF7Y896s9a8d},{superRick},{20240416},{29991231},{1}

En la tabla, salgo

{saf9sag7F8SAfbispaIF7Y896s9a8d},{richmonde},{20090930},{20240416},{99}
{saf9sag7F8SAfbispaIF7Y896s9a8d},{superRick},{20240416},{29991231},{1}

Es el mismo movil, mismo hash, pero sin descifrar. Comparas moviles (hash) para usuarios y sabes si hay o no multicuentas con mismo numero. (esto que he puesto es un ejemplo simple, hace falta mas info, por si hay multicuentas aprovadas por admins, y demases, pero a priori se entiende)

Entiendo a que te refieres con el derecho al olvido (contenido del foro), pero el historico de cuentas si cumple la LOPD puedes mantenerlo para fines de control. Y si, el movil en caso de usarse, se va a necesitar para evitar cuentas barbecho, bots, usuarios baneados y demás.

Quien tenga miedo a esto, es simplemente porque tiene más que ocultar que mostrar. No hablo de tener el número al descubierto, sino a que se sepa el hash.

1 respuesta
Mirtor

#2288 Si he entendido lo que dies. Pero lo dicho, con tu proposición se sabe qué teléfono, aunque sea hasheado, es de cada usuario. Había otros users proponiendo que simplemente se guardase una lista de teléfonos hasheados sin vincular con los usuarios y al registrarse alguien nuevo se comparara con ella.

Y yo creo que sí se puede sacar el input del hash, hay pocos números de teléfono. Si asumes que el teléfono es español, que en el caso de MV no va a ser cierto siempre, pero sí muchas, tienes ocho cifras del 1 al 10 y una cifra del 6 al 8. No es ninguna locura pensar en fuerza bruta.

1 2 respuestas
rob198

Si se mete registro con teléfono u otras historias no solo se va a perder a buena parte de los usuarios sino que también se va a complicar mucho que vengan nuevos.

Yo desde luego no voy a dar mi número.

20
V

Si queréis atraer a más gente nueva, lo del teléfono es un error. Ningún foro o casi ninguno lo pide.

Si queréis un foro con la gente que ya está, es buena idea lo del teléfono.

Wei-Yu

este derrail sobre encriptación es un ejemplo perfecto de resolver bien el problema erróneo

dificultar el registro te tumba los usuarios nuevos, pensad en ir a un foro a responder a un hilo o escribir algo y que os reciban con 2 popups de verificación y/o un softlock en la cuenta, simplemente no vuelves y ya, para qué te vas a calentar la cabeza? a los 10 minutos ya te olvidaste de que esa web existe

7 2 respuestas
richmonde

#2289 Nuevamente, vuelvo a citar a @AikonCWD en su post de #2276

Haces que el sistema ponga una frase al inicio y al final del número, pides el prefijo de llamada y hasheas la cadena entera:

+34 666 66 66 66 --> "coche +34 666 verde 66 con hormiga 66 en mediavida 66 halflife"

Suerte para descifrar esto sin saber la frase.

2 respuestas
Runig666

#2289 Es que para nada es una locura fuerza bruta.

Justamente tiene las dos peores cosas para que sea más fácil hacer un ataque de fuerza bruta.

  • La longitud es fija
  • El número de caracteres posibles son 10

Es decir que son que? Cien millones de posibilidades?

#2293 Y la fruza bruta necesaria sigue siendo la misma. Porque ese texto debe de seguir una regla concreta, ya que en el caso de que me den el mismo número debo de obtener el mismo resultado...o no serviría para validar

2
V

#2292 En otros foros o comunidades no se requiere dar el número de teléfono, por lo que resulta contraproducente solicitarlo en Mediavida para atraer nuevos usuarios, generando así rechazo. Pero, si el objetivo del foro es retener a los usuarios existentes, se podría considerar.

richmonde

El tema del registro es para con las cuentas dobles y una verificacion de usuario. Desde luego no seré yo el defensor del movil, pero que se puede hacer sin comprometer al usuario es posible #2292 como digo en el post de #2293

Yo personalmente prefiero algo más organico, y que sea algo tan simple como tener una verificacion en dos pasos, y que se guarde el hash de verificacion al confirmar el MFA.

  • Proteges la cuenta
  • Verificas el perfil
  • Internamente los admins (que no mods) saben si eres o no multicuenta por el MFA (si solo se hace con un único sistema de MFA es más sencillo)
1 respuesta
V

#2296 Pero eso conlleva la pérdida de un atractivo para nuevos usuarios, a la mayoría de gente le da pereza meter el número de teléfono, menos aún para un foro.

1 2 respuestas
M

#2297 No quieren nuevos usuarios, es simplemente un Discord de amigos.

1 respuesta
Mirtor

#2293 Tú lo has dicho, sin saberte la frase. La frase tiene que estar en algún sitio almacenada y por tanto la probabilidad de saberla y volver al caso de la fuerza bruta viable no es cero.

3 respuestas
V

#2298 No es lo que yo entendí. Pensé que querían revitalizar la web de ahí buscar gente que redacte noticias nuevos mods darle un lavado de cara... No creo que vayan a realizar tanto esfuerzo sino es por atraer a más gente o intentarlo.

1
MisKo

Pero vamos a ver, que lo que dificulta todo esto es la generación de hashes, es decir, el TIEMPO que tarda en generarse cada HASH.

En mi ordenador, ahora mismo, con Bcrypt, un coste de 18, y un numero de teléfono de 9 digitos, tarda 11 segundos en generarse 1 Hash.

Si tenemos que generar todos los hashes para ir del número 600000000 al número 700000000 son 100000000 de hashes o, lo que es lo mismo, 1100000000 segundos, o para simplificar, 12731 días, 35 años

Se podría bajar estos tiempos con máquinas jodidamente potentes, pero vamos, no van por ahi los tiros xDD

2 respuestas
richmonde

#2297 Para un MFA no necesitas el número. Un Authy, Google Authenticator, Cisco DUO Mobile, o el que MV decida usar si quiere uno concreto para acotar posibles multicuentas con un mismo dispositivo con multiples MFA apps.

1 respuesta
V

#2302 Para mi es lo mismo, si crees que la gente de a pie se va a descargar una app de esas para registrarse al foro... Que yo uso Google Autheticator pero conozco a poquita gente que lo use. Para mi todo lo que no sea registrarse con mail usuario password y verificación del mail es una pérdida de atractivo para nuevos usuarios.

Ojo solo es mi opinión, no tiene porqué ser así.

1 1 respuesta
eXtreM3

#2299 si te hackean toda la infraestructura el menor de tus problemas es que se sepa que el número 629123456 pertenece a algún usuario de MV.

1 respuesta
AikonCWD

#2299 Ese sí que es un fallo bien visto. Al final lo que antepones al telefono estará almacenado. Y si alguien ha tenido acceso a la BD para dumpear los hashes, también podría tener acceso a la cadena de texto que se añade al telf antes de hashear... hum. Pues se me acaban las ideas xD

1 1 respuesta
Choscar

6 1 respuesta
Mirtor

#2301 De tiempos concretos no tengo ni idea, pero según la tabla que has puesto en #2283 100M de combinaciones son tres minutos, y en España estaríamos en unos 300M de móviles posibles, si no he patinado. No es trivial pero tampoco imposible que alguien lo sacara. Entiendo que esa tabla es con ordenadores potentes, pero si alguien quisiera podría tener acceso.

#2304 Para MV puede ser, para el usuario random entiendo que le joda es que ahora la gente pueda asociar su teléfono a su usuario del foro.

1 1 respuesta
Juni

#2306 Literal

AikonCWD

Y añadir al tema del hash, un algoritmo de derivación de claves? Eso hace que la tarea de fuerza bruta se dispare hasta el punto de no ser viable. Se pueden meter muchísimas iteraciones ya que solo para el server de mediavida se tendrían que calcular una vez durante el resgitro de un usuario y nunca más. Y en cambio para el "hacker" suprondría una pared dificilmente superable.

richmonde

#2303 Yo tengo mi cuenta en MV con un MFA. Y sin problemas oye. Se que no me la pillará un botardo pro-ruso, pro-islam o lo que sea, y de paso, tengo la cuenta protegida. Llámame loco, pero es una cuenta de 15 años que le tengo un cariño especial.

Al final, siempre se puede incentivar a los usuarios a tener un MFA para acceder a todo el foro o no. Ejemplo: todas las zonas del foro que NO sean Videojuegos (el core de MV inicial) es solo de lectura hasta que verifiques la cuenta.

Puedes entrar en todas partes (menos FEDA o lo que se vete por otras razones), pero no puedes participar hasta que no verifiques la cuenta.

2 respuestas
Tema cerrado