security - パスワードをメールで受け取りました。これが安全でないことを確認したい

Question

最近、サイトのパスワードを忘れてしまい、これを解決するためのサポート プロセスを実行しました。元のパスワードが平文でメールで送られてきました。

私は彼らに、電子メールは安全な送信プロトコルではなく、パスワードのプレーンテキスト バージョンを送信することで、ハッシュ化されたバージョンのパスワードを保存していないことを示していることを示す痛烈な電子メールを送信しました。私は、データベースにアクセスできる人やシステムをハッキングする人は誰でも、パスワードにアクセスできると言いました.

これらの主張は正しいですか？

Answer 1

はい、あなたの主張は正しいです。

彼らがパスワードを平文形式で保存しているかどうかは定かではありませんが、ロスレス形式で保存されており、彼ら (および潜在的に攻撃者) が平文パスワードを解読できることは明らかです。

いずれにせよ、これはセキュリティが不十分です。

このようなリスクを軽減するためにユーザーが実行できるアプローチの 1 つは、各サイトに一意のランダム パスワードを割り当てることです。このようなパスワードを管理できるソフトウェア ツールはたくさんあります。