Plaintextová hesla u daňového úřadu
Australský daňový úřad (ATO) ukládá hesla v otevřené, nezašifrované podobě. Týká se to přinejmenším jedné služby poskytované úřadem (objednávání publikací), kde jsou tato hesla přímo posílána uživatelům, kteří heslo zapomněli. I pokud by se to ostatních služeb ATO netýkalo, mnozí uživatelé pravděpodobně používají pro všechny služby stejná hesla a únik by byl proto snadno zneužitelný.
Komentáře
A? Když nechci, aby
A?
Když nechci, aby protistrana znala heslo, tak jí ho sakra neposílám. A když jí ho pošlu, tak se pak nemůžu divit, že ho zná.
Jako by sis u daňového úřadu
Jako by sis u daňového úřadu mohl vybírat :-D
Můžu si přece vybrat jim to
Můžu si přece vybrat jim to heslo neposlat.
Přeci jen je lepší hashovat a solit
Nebo jim můžu poslat náhodně vygenerované heslo (které nikde jinde nepoužiji).
Nicméně dobré mravy velí, že bys měl být shovívavý a počítat s tím, že druhá strana udělá chybu – tzn. že uživatel ti svěří heslo, které použil i někde jinde – a pokud tě to nic nestojí a můžeš tuhle chybu kompenzovat, měl bys to udělat.
A proto je dobré hesla hashovat a solit – pokud nemáš dobrý důvod, který ti v tom brání (např. používáš autentizační mechanismus, který vyžaduje na serveru znalost hesla v čistém tvaru).
Nebo jim můžu poslat náhodně
Ano, přesně takhle to dělám, když po mně někdo chce heslo (respektive já sám to nedělám, dělá to za mě můj počítač). I když se na druhé straně používá nějaký systém, který hesla hashuje defaultně, nebudu spoléhat na to, že po cestě nesedí nějaký pobuda s Wiresharkem a nechytá je ještě před zahashováním. Když už jim někdo dokáže nabourat server a stáhnout si databázi, podaří se mu asi přidat i ten backdoor, který hesla zapíše ještě v čitelném tvaru.
Jo, s tou prevencí blbosti uživatelů se dá souhlasit.