Was sind die Auswirkungen auf die Sicherheit, wenn ein Passwort in das Feld "Benutzername" eingegeben wird?

Angenommen, Sie haben einen schlechten Tag und müssen sich in Eile auf einer bevorzugten Website anmelden und dann versehentlich Ihr Passwort in das Textfeld für den Benutzernamen eingeben. Sollten Sie sich Sorgen machen und Ihr Passwort für diese Website ändern, oder ist es nur grundlose Angst?

Die heutige Frage &Die Antwortsitzung kommt dank SuperUser, einer Unterteilung von Stack Exchange, einer Community-gesteuerten Gruppierung von Q & A-Websites, zu uns.

Die Frage

SuperUser reader agentnega möchte wissen, welche Gefahren die Eingabe des eigenen Passworts in das Textfeld "Benutzername" bedeuten und versehentlich einreichen könnte:

Angenommen, ich habe mein Passwort in das Textfeld "Benutzername" einer häufig besuchten Website eingegeben( httpsnatürlich ) und drücken Enter, bevor ich bemerkte, was ich tat.

Ist mein Passwort jetzt irgendwo im Klartext in einer Logdatei? Wie könnte mein Fehler von einem schlauen Übeltäter ausgenutzt werden? Helfen Sie mir, die tatsächlichen Auswirkungen auf die Sicherheit zu verstehen, unabhängig davon, wie wahrscheinlich es tatsächlich ist.

Wäre das eigentlich etwas, worüber man sich Sorgen machen müsste, oder könnte man das als einen einfachen Fehler betrachten und es vergessen?

Die Antwort

SuperUser Mitwirkende Nikolay und GregD haben die Antwort für uns. Zuerst, Nikolay:

Es hängt von der Konfiguration des Authentifizierungssystems für die Website ab. Wenn es eingerichtet wurde, irgendwelche Versuche zu protokollieren, dann ja, es ist jetzt im Protokoll( Textdatei oder Datenbank ) im Klartext. Es könnte wie folgt aussehen:

12-Feb-2014 12:00:00 AM: Erfolgloser Login-Versuch Benutzer( YOUR_PASSSORD_HERE) von( YOUR_IP_HERE);

oder ähnlich.

Es ist immer noch wahr, dass ein Passwort für normale Benutzer nur für diejenigen zugänglich ist, die Zugriff auf Protokolldateien haben.

Welche Konsequenzen hat es?

• Wenn der Server jemals kompromittiert wurde, dann hätte der Hacker theoretisch Ihr Klartext-Passwort.
• Der Administrator der Website konnte routinemäßig die Protokolldateien durchsuchen und versehentlich Ihr Kennwort finden. Er kann dann die IP-Adresse finden, von der dieser Datensatz stammt, und kann theoretisch herausfinden, was Ihr Benutzername und Ihre E-Mail sind( weil er Zugriff auf die Datenbank hat).

Wenn Sie also auf anderen Websites dasselbe E-Mail-Passwort /username/ verwenden, ändern Sie es sofort. Denn es besteht immer die Möglichkeit, dass Ihr Passwort gefunden wird. Protokolle können für Jahre auf Servern verbleiben.

Gefolgt von der Antwort von GregD:

Wie Sie bereits gesagt haben, neigen Webanwendungen dazu, Protokolle fehlgeschlagener Anmeldeversuche zu führen. Wenn jemand die Protokolle durchsehen sollte, könnte er diesen bestimmten Anmeldeversuch mit einem Ihrer erfolgreichen Versuche( , d. H. Über die IP-Adresse ) verbinden.

Obwohl ich nicht denke, dass dies passieren wird, können Sie es immer sicher ändern.

Angesichts der ständigen Flut von Datenverstößen, die wir heute lesen und hören, wäre es besser, das Passwort für die betreffende Website( und andere mit dem gleichen Passwort ) zu ändern, um beruhigt zu sein. Wenn es um die Sicherheit Ihrer Online-Konten geht, ist es besser, sich zu entschuldigen!

Haben Sie etwas zur Erklärung hinzuzufügen? Ton in den Kommentaren ab. Möchten Sie mehr Antworten von anderen technisch versierten Stack Exchange Benutzern lesen? Sehen Sie sich den vollständigen Diskussionsfaden hier an.