La plupart des sites en ligne sur l'enregistrement envoient un lien pour activer le site et sur toute correspondance supplémentaire avec l'utilisateur final, ils fournissent des informations sur le site et fournissent également les informations d'identification de connexion avec le mot de passe en texte clair (comme indiqué ci-dessous) < / p>
nom d'utilisateur - myName@gmail.com Mot de passe - mysecrepassword
Que feriez-vous dans un tel cas? À partir d'une perspective de convivialité, il est logique d'envoyer les informations de mot de passe dans Clear Text ou d'éviter d'éviter d'envoyer ces informations. J'étais sous l'impression que la plupart des mots de passe sont hachés à MD5 avant de stocker dans la base de données et que le fournisseur de services n'aura aucun accès aux mots de passe de texte clairs, est-ce une violation de la sécurité?
3 Réponses :
Oui, ceci est définitivement une violation de la sécurité. Seule une version salée et hachée de mots de passe doit être stockée.
IT est Common d'avoir réinitialiser la fonctionnalité de mot de passe qui envoie un mot de passe temporaire généré automatiquement (qui devrait être bon pour un seul identifiant) ou une liaison de réinitialisation unique. Cela signifie que vos autres comptes ne sont que aussi sécurisés que votre email.
Toutefois, vous devriez éviter tout autre site qui vous écrit votre mot de passe réel dans le texte clair.
C'est une erreur couramment tenue que si vous recevez un mot de passe en texte brut, cela signifie qu'ils ne sont pas stockés de manière sécurisée - les mots de passe comme aucune autre donnée peuvent être stockés à l'aide de cryptage réversible.
Cela dit, il est probable que tout le monde qui vous envoie un mot de passe en clair n'enregistre pas de la sécurité et ne les stocke probablement pas négligemment (à moins que les mots de passe soient utilisés comme des identifiants faibles dans le monde réel, disent dans le cadre d'une partie de Schéma d'adhésion des magasins, auquel cas ils ne devraient pas être appelés mots de passe de la part de vos clients sont confus).
Si vous envoyez un mot de passe, vous pouvez également supposer que s'il est lié à quelque chose d'important, il a été compromis. Il y a juste trop de points faibles. Vous pouvez également faire beaucoup plus de dégâts involontaires.
Ce n'est pas une erreur du tout. Les mots de passe doivent pas être stockés à l'aide de cryptage réversible. Il est trop courant que les systèmes entiers (y compris la base de données et la clé) soient compromis. Si vous utilisez un cryptage réversible, cela signifie que l'attaquant a accès au mot de passe (quels utilisateurs utilisent généralement à plusieurs reprises et dans plusieurs endroits). Si vous utilisez le salage et le hachage, ils ne le font pas.
L'erreur est que les mots de passe envoyés comme sifflet indique des mots de passe stockés comme en tant que clairexuel. S'ils ont accès à votre clé et à votre base de données, vous avez probablement des problèmes plus importants à portée de main. S'ils ont accès à votre sel et à votre base de données, ils peuvent toujours générer une table arc-en-ciel qui ne devrait pas prendre aussi longtemps pour casser la plupart des mots de passe hachés.
@Matthew Flaschen: Si vous utilisez le même mot de passe à plusieurs reprises, vous le demandez.
Je veux juste signaler que je n'entraînais pas non plus les mots de passe réversibles sur des mots de passe hachés, ce n'est qu'un compromis qui doit parfois être fait sous pression professionnelle. J'adressais simplement à la question de l'OP "Cela signifie-t-il qu'ils sont stockés comme étant en clairexuant" avant de traiter "Devrais-je envoyer des mots de passe comme clairexuel".
@Graphiz, personne n'a déclaré "les mots de passe envoyés comme sifflent indique des mots de passe stockés comme en tant que clairexuel". L'OP dit, et je suis d'accord, cela indique une violation de la sécurité. Évidemment, vous ne voulez pas que les gens craquent vos systèmes. Mais dans ce scénario, il n'y a aucune raison de les laisser également obtenir des mots de passe déchiffrés. @LONGPOKE, même si les utilisateurs n'utilisaient pas de mots de passe dans plusieurs endroits (et c'est un fait de la vie qu'ils le font), l'attaquant pourrait toujours utiliser les mots de passe déchiffrés sur le même site qu'il a craqué, une fois qu'il était opérationnel.
@Matthew Flaschen - Les données cryptées n'indiquent pas une violation de la sécurité. Par votre logique, tout cryptage est inutile.
Non, le cryptage en général n'est pas inutile. Il est essentiel de fournir une confidentialité. Mais ici, nous ne voulons pas la confidentialité. Nous voulons personne pour pouvoir récupérer les mots de passe, même si le système est compromis.
Il y a toujours des compromis et des développeurs doivent envisager d'être utilisés, le savoir-ness des utilisateurs prévus, le secret et l'importance des données, la fréquence que le site Web sera utilisée, etc. Bien sûr, les utilisateurs ne veulent pas que leur vie privée violée, mais d'autre part, les utilisateurs Web «ordinaires» peuvent être désactivés en devoir se souvenir d'un mot de passe, ou même avoir à en inventer un en premier lieu (certains sites Web simplifient l'enregistrement de l'utilisateur en générant un mot de passe aléatoire et le courrier électronique). Les développeurs de sites Web ont la responsabilité de garder les intérêts des utilisateurs à l'esprit à l'esprit lors de la conception de la sécurité.
Mon conseil est que les mots de passe ne devraient être envoyés que par courrier électronique dans le claire lorsqu'ils sont générés au hasard. Cela évite le scénario gênant suivant: un utilisateur registre avec un mot de passe qu'ils sont utilisent déjà pour divers autres services Web, puis reçoivent un courrier électronique de confirmation d'enregistrement contenant le mot de passe qu'ils viennent de saisir. Beaucoup d'utilisateurs peuvent ne pas être suffisamment soucieux de la sécurité pour utiliser des mots de passe uniques pour chaque site Web, mais ils sont sont suffisamment conscients de sécurité pour reconnaître que les mots de passe "sensibles" ne doivent pas être envoyés par courrier électronique.
Je sais ce que je fais quand je vois ça. J'envoie un email au site leur demandant pourquoi ils ne se soucient pas de la sécurité.