¿Es realmente una buena idea el texto simple sobre https? [duplicar]

Question

¿Es realmente una buena idea el texto simple sobre https? [duplicar]

#1 de StampyCode (3 votos)
#2 de S12eRw20O (2 votos)

4

El envío de contraseñas de texto sin formato a través de https es bastante seguro, el tráfico está cifrado, lo que hace que las escuchas sean prácticamente imposibles.

Sin embargo, una vez en el lado del servidor, todavía es texto sin formato. Por supuesto, almacenar las contraseñas necesita un cifrado adecuado, etc. Pero, ¿qué hay de las herramientas de supervisión, el registro, etc.? ¿No es posible que las contraseñas de texto sin formato terminen en registros, etc.? Incluso cuando se utiliza POST?

Si supervisáramos la comunicación, también veríamos las contraseñas en texto sin formato. Un simple compendio en lugar de texto simple nos dificultaría verlo y recordarlo. Sí, puedo acceder a una gran cantidad de datos confidenciales de todos modos. Sí, puedo usar tablas de arco iris para descifrar el hash MD5. Si queremos hacerlo mal, podemos hacerlo mal. Pero, ¿por qué deberíamos permitir que mis colegas y yo veamos contraseñas de texto sin formato?

Dado que las personas tienden a usar la misma contraseña para múltiples servicios en línea, tener la contraseña de alguien da acceso a más que solo nuestros datos de esa persona.

passwords tls

pregunta Taco Jan Osinga 05.03.2015 - 15:25

fuente

2 respuestas

Lea otras preguntas en las etiquetas passwords tls

Cómo se firma ECDHE por RSA en el cifrado ECDHE_RSA ¿Existe algún riesgo al abrir el puerto 22 para el acceso ssh con una red? [duplicar]

score 3 · Answer 1

Las buenas ideas están limitadas en el tiempo.

Proteger las contraseñas con MD5 es una buena idea. Luego se descubrieron tablas de arcoiris y colisiones de MD5. Así que ahora es una mala idea.

Enviar contraseñas de texto sin formato a través de HTTP es una muy mala idea, enviar contraseñas de texto sin formato a través de HTTPS es una muy buena idea en comparación , pero todavía hay mejores enfoques que puede tomar.

Memoria : como una guía general, debe asumir que el servidor al que le está enviando sus credenciales es seguro, por lo que no se preocupe demasiado por las contraseñas de texto simple guardadas en la memoria a menos que esté buscando desarrollar aplicaciones ultra seguras.

Registros : los registros generalmente no contienen datos HTTP POST / UPDATE, ya que esos datos son potencialmente muy confidenciales, y algunas veces, almacenarlos en archivos de registro no cifrados sería ilegal, como cuando un cliente envía los datos de la tarjeta de crédito para procesar un pago.

Las contraseñas solo deben enviarse como parte del cuerpo de la solicitud HTTP, nunca en la URL del sitio, y preferiblemente tampoco en los encabezados HTTP. Autenticación HTTP BÁSICA utiliza un campo de contraseña en el encabezado, protegido primitivamente con Base64, pero esto es solo para evitar que las personas naveguen la contraseña, no la protegerá de ninguna otra cosa.

Puede consultar Hash de contraseña del lado del cliente , lo que implica el hashing de la contraseña en el lado del cliente antes de que se envíe al servidor; por lo tanto, incluso el servidor nunca tendría el texto de la contraseña real (y debería aún más sal y hash, de todos modos), pero esto es más complicado de configurar y no se recomienda para cualquiera que no entienda completamente lo que están haciendo.

score 2 · Answer 2

El envío de contraseñas de texto sin formato a través de HTTPS es seguro.

Si le preocupa el registro, debe verificar su implementación completa, incluidos los marcos y las herramientas. Puede haber algún código AOP que pueda llegar a los datos antes de acceder al contenido de las variables. Por lo tanto, el código de registro podría ser un problema de seguridad.

Siempre recuerda agregar un salt a la contraseña antes de incluirla.