LJ и SMTP TLS

[dadv]

Обратил внимание, что ЖЖ не использует TLS в письмах, которые посылает юзерам. Включая письма с кодом для сброса пароля. Это нормально в 2014? Такие баг-репорты где-то принимаются в ЖЖ

Comments

[boltik]

А были прецеденты когда аккаунт ломали путем перехвата незашифрованного письма с кодом?

[dadv]

/me thinks, что все хакерские "взломы" аккаунтов "оппозиционеров" это тупо использование СОРМ2 и слив перехваченных кодов "хакеру" людьми из органов.

[boltik]

Получение письма с кодом восстановления, который не запрашивался, вызовет подозрения. СОРМ система пассивная и предотвратить доставку письма не может - факт взлома быстро бы обнаружился.

[dadv]

Можно подумать, там стояла цель скрыть факт взлома.

[dadv]

А скрыть вектор атаки в этом случае вообще не проблема. Выбрать время, когда объект обычно спит, оперативно использовать код, подтереть сообщение с кодом.