Un sitio web "se rompió" después de que cambié mi contraseña a algo como "NÌÿÖÏï £ Ø ¥ üQ ¢ ¨¼Ü9¨ÝIÇÅbÍm". No pude iniciar sesión, y el servicio al cliente eliminó mi cuenta y me hizo crear una nueva. ¿Implica esto fallas de seguridad en el código del sitio? ¿Debo preocuparme por mis credenciales?
Obviamente estoy usando un administrador de contraseñas, y el sitio web solo me permite reservar asientos en un cine, por lo que las credenciales no tienen mucho valor.
Su descripción es que el sitio no valida correctamente su entrada. Esto (débilmente) implica un defecto profundo en su código. Si su entrada simplemente había estrangulado su rutina que llama a PBKDF2() , es posible que el hash de su contraseña no haya sido reproducible; pero esperaría que un simple restablecimiento de la contraseña hubiera sido adecuado para solucionar ese problema. Eliminar su cuenta podría indicar que el registro de su cuenta estaba dañado; sin embargo, eliminar cuentas podría ser simplemente su respuesta a cualquier persona que tenga un problema de contraseña debido a una entrada inesperada del usuario. Incluso podrían estar intentando frustrar activamente a los hackers con esta respuesta.
Además, defectuoso no significa necesariamente que su sitio sea vulnerable. El código defectuoso tendría que ser explotable, y usted no proporcionó evidencia de eso. Dicha evidencia podría incluir un comportamiento errático o valores modificados inexplicablemente.
Si decides seguir presionando, tal vez probar caracteres de contraseña individuales para aislar el glifo que hizo que su sitio bloquee tu cuenta, debes saber que tendrían derecho a considerar que esos intentos son un ataque de hacking. Busque el permiso del propietario del sitio antes de experimentar.
Tenga en cuenta que si, en lugar de utilizar caracteres de conjuntos de bits altos, construye su contraseña a partir de 16 caracteres alfanuméricos ASCII criptográficamente aleatorios, sin bits de bits altos, estándar, ordinarios, imprimibles, la diferencia práctica a la seguridad de su contraseña será irrelevante .
Lo más probable es que signifique que (como la mayoría de los programas escritos por estadounidenses) nunca se ha probado con caracteres Unicode y que has expuesto un error en su código. No es una prioridad alta para que los arreglen, así que en lugar de eso, simplemente han evitado el problema al decirle que no haga eso.
Es extraño que el servicio al cliente haya eliminado y recreado tu cuenta en lugar de restablecer la contraseña, pero no es increíblemente preocupante. Puede ser que estén mal entrenados para lidiar con esta situación y ese es el enfoque que tomaron. También podría ser que el error también esté presente en la función de cambio de contraseña por algún motivo (¿tal vez almacenen algo encriptado con su contraseña como clave, y tengan que descifrarlo y luego volver a cifrarlo con la nueva contraseña?).
Es probable que un sitio con este tipo de problemas de ingeniería y pruebas también tenga una falla de seguridad o dos, pero eso es una correlación estadística, no algo directamente implicado por el error observado.
El procesamiento de la contraseña debe ser un módulo que no produzca ni verifique más que un hash. Las únicas formas en que una contraseña compleja no se puede volver a ingresar con éxito son dos partes separadas de código que se supone que hacen lo mismo pero no lo hacen, o peor, las contraseñas se almacenan en texto sin formato.
Cuanto mayor sea el procesamiento o el almacenamiento de las contraseñas en claro, más susceptible será el sitio para ataques de extracción de contraseñas o ataques generales en el sistema.
Hay un xkcd comic sobre el procesamiento de contraseñas que excede su alcance inmediato.
Y, por supuesto, esto también recuerda a pequeñas tablas de Bobby .
Resumiendo ambas tiras cómicas: desinfecte la entrada antes de almacenarla en cualquier lugar y no sobreprocese las contraseñas.
Lo siento si mis referencias son todas de Randall Munroe pero sus explicaciones son muy gráficas ...