Care sunt implicațiile de securitate dacă o parolă este trimisă în câmpul Nume de utilizator?

Să presupunem că aveți o zi proastă și că vă grăbiți să vă conectați la un site preferat, apoi trimiteți parola în caseta text cu numele de utilizator în mod accidental. Ar trebui să vă îngrijorați și să schimbați parola pentru site-ul respectiv, sau este doar frică fără temei?

Întrebarea de astăzi &Sesiunea de răspuns vine de la amabilitatea SuperUser - o subdiviziune a Stack Exchange, o grupare bazată pe comunitate a site-urilor web Q & A.

Întrebarea

SuperUser cititor agentnega vrea să știe ce pericole de introducere a parolei în caseta de text a utilizatorului și trimiterea accidentală ar putea fi:

Să presupunem că am introdus parola în caseta de text a unui nume de utilizator pe un site frecvent vizitat( httpsbineînțeles ) și loviți introduceți înainte de a observa ce făceam.

Parola mea este acum așezată în text simplu într-un fișier jurnal undeva? Cum ar putea oare greșeala mea să fie exploatată de un mizerabil greu? Ajutați-mă să înțeleg implicațiile reale ale securității, indiferent de probabilitatea de a se întâmpla.

Ar fi de fapt ceva de îngrijorat, sau ar putea să te uiți la asta ca o simplă greșeală și să uiți de ea?

Răspunsul la răspunsurile

SuperUser Nikolay și GregD au răspunsul pentru noi.În primul rând, Nikolay:

Depinde de configurația sistemului de autentificare pentru site. Dacă a fost setat să înregistreze toate încercările, atunci da, este acum în jurnal( fișier text sau bază de date) în text simplu. Ar putea să arate astfel:

12-Feb-2014 12:00:00 AM: Utilizator nereușit de încercare de conectare( YOUR_PASSSORD_HERE) de la( YOUR_IP_HERE);

sau similar.

Este încă adevărat că o parolă nu va fi accesibilă utilizatorilor obișnuiți, numai pentru cei care au acces la fișierele jurnal.

Ce consecințe implică aceasta?

• Dacă serverul a fost vreodată compromis, atunci teoretic, hackerul ar avea parola de text simplu.
• Administratorul site-ului ar putea răsfoi în mod curent fișierele de jurnale și va găsi parola în mod accidental. El poate apoi să găsească adresa IP din care a provenit înregistrarea și, prin urmare, poate afla teoretic ce este numele dvs. de utilizator și adresa de e-mail( deoarece are acces la baza de date).

Deci, dacă utilizați aceeași parolă /username/ pentru e-mail pe alte site-uri, schimbați-o imediat. Pentru că există întotdeauna o șansă ca parola dvs. să fie aflată.Jurnalele pot rămâne pe servere de ani de zile.

Urmat de răspunsul de la GregD:

Așa cum ați spus, aplicațiile web tind să păstreze jurnalele de încercări de conectare nereușite. Dacă cineva ar trebui să analizeze jurnalele, ar putea conecta această încercare de conectare particulară cu una dintre încercările dvs. de succes( , adică prin adresa IP ).

Deși nu cred că este posibil ca acest lucru să se întâmple, puteți oricând să îl schimbați.

Cu barajul constant al încălcărilor de date pe care le citim și le auzim despre aceste zile, ar fi mai bine să schimbăm parola pentru site-ul în cauză( și oricare alții cu aceeași parolă ) pentru pace. Este mai bine să fii în siguranță decât să-ți pară rău când vine vorba de securitatea conturilor tale online!

Aveți ceva de adăugat la explicație? Sunați în comentarii. Doriți să citiți mai multe răspunsuri de la alți utilizatori de tehnologie Stack Exchange? Check out discuția completă aici.