security - 暗号化されていないデータベースへのパスワードの保存は_バグ_ですか？

Question

そのため、QAエンジニアとして短いギグを行い、テスト環境を構築し、テストを行っています。そして、暗号化されていないデータベースに保存されているパスワードが表示されます。私はこのトピックについていくつか読んだのですが、それが悪い習慣であることは明らかです。

バグとして報告する必要がありますか？

Answer 1

パスワードを暗号化して保存する必要があるというシステム要件がある場合、それはバグです。そのような明示的な要件がない場合は、潜在的なセキュリティの弱点として報告します。

Answer 2

バグは、予想される動作からの逸脱です。システムの予想される動作に「パスワードをプレーンテキストで保存しない」または「最小限のセキュリティ基準に準拠する」が含まれている場合、実際の動作はバグです。そのような期待が存在しない場合、この動作はバグではありません。私たちはあなたの製品を知らないので、この振る舞いがバグであるかどうかという質問に答えることはできません。特定の動作がバグであるかどうかわからない場合は、製品の定義責任者に問い合わせてください。

Answer 3

いいえ、バグではありませんが、提案の一部として、パスワードは単純な情報ではないため、開発者に暗号化を強制することができます。しかし、最終的には組織から組織に依存します。権威を議論の下に置きます。