Qué hacer con los sitios web que almacenan contraseñas de texto sin formato

Use una contraseña diferente para cada sitio. De esa manera, cuando la contraseña se vea comprometida (ya sea por indagación en las transmisiones de correo electrónico de texto sin formato, o incluso si una base de datos con contraseñas con hash / hasted está descifrada), el atacante solo podrá acceder a su cuenta en ese sitio, en lugar de hacerlo en todos los sitios en los que tenga credenciales de cuenta similares.

... y, por lo tanto, no tiene que recordar un millón de contraseñas: PwdHash de Stanford es una útil extensión de navegador que genera contraseñas únicas automáticamente al incluir una contraseña común que ingresa con el dominio del sitio.

Es por eso que se recomienda utilizar otra contraseña en cada sitio.

Intente enviarlos por correo electrónico para eliminar su cuenta. De lo contrario, no use ese sitio y realmente, use / genere otra contraseña (¡y una larga!) En cada sitio en el que se registre. Nunca se sabe cuáles almacenan contraseñas simples en su base de datos

Envíeles un correo electrónico solicitando ser eliminado de su base de datos.

No les des más información sobre usted

Asegúrese de no tener esa contraseña en ningún lugar.

Diría que, dado que la contraseña está disponible para que la vea todo el mundo, solo actualícela con una contraseña que no esté utilizando en ningún otro lugar. Por lo tanto, nadie puede piratear su información en ningún otro sitio utilizando la contraseña de este sitio. El ejemplo podría ser si su correo electrónico es su nombre de usuario y está usando la contraseña de este sitio como contraseña para su correo electrónico.

Aparte de eso, si desea ofrecer ayuda al sitio web con el almacenamiento efectivo de contraseñas y enviarles el enlace de este hilo de stackoverflow.

Si está transmitiendo contraseñas en texto plano, es una "vulnerabilidad".

El primer paso es encontrar pruebas, como ejecutar Wireshark para capturar las contraseñas a medida que se envían por cable.

El segundo paso es ponerse en contacto con la empresa, por ejemplo, enviando un correo electrónico a "[email protected]". Las direcciones de correo electrónico "secure @" y "security @" son las cajas de correo electrónico que las compañías configuran si están preocupadas por tales descubrimientos.

Guarde las respuestas que reciba de la compañía.

Cuando sea obvio que la compañía no lo va a arreglar, publique un mensaje en la " revelación completa " lista de correo. Describe sucintamente el problema, muestra la prueba y muestra la respuesta.

Lea las publicaciones de correo electrónico en la lista de divulgación completa para ver cómo otras personas han hecho esto.

1. No utilice un sistema que pueda probar que es inseguro si necesita que esté seguro.
2. Póngase en contacto con la empresa / propietario responsable del desarrollo del sistema y comparta su prueba de su inseguridad.
3. Si recibe una respuesta desfavorable de la empresa / propietario que equivale a que no están dispuestos a corregir el sistema para estar seguro a su satisfacción, vaya a otro sistema.

¿Cuáles son las mejores prácticas para lidiar con ese sistema? :

No utilice ese sistema con información confidencial. Considere cuáles serían los problemas para usted si hay una fuga de datos, o si alguien comienza a usar el sistema con su inicio de sesión. Si es una situación prohibida, deje de usar el sistema.

[mejores prácticas para tratar] y los propietarios de ese sistema :

Registre su insatisfacción mediante el correo electrónico y cualquier otro medio de contacto: atención al cliente, llamada telefónica, correos electrónicos de contacto, foros, blogs, wikis ...

mientras minimiza el riesgo para usted a través del uso del sistema :

Si considera que usará ese sistema de todos modos, entonces no use la misma contraseña para ese sistema y cualquier otro sistema. Si no puede utilizar su correo electrónico como inicio de sesión, aún mejor.

o informe de los problemas relacionados?

las mismas respuestas le han dicho: registre todas sus quejas, deje de usarlas.

Ya se ha sugerido cambiar la contraseña. Cambiándolo a "no almacene contraseñas en texto plano, ¡llámenos!" y luego enviarles un correo electrónico solicitando que elimine su cuenta y elimine todos los datos personales podría ayudar a que se escuche su mensaje.

Aparte de eso, las contraseñas en texto sin formato no son un gran problema, ya que incluso las bases de datos de contraseñas con hash pueden ser atacadas por fuerza bruta en un tiempo razonable en estos días, especialmente si los datos con hash no contienen sal .

¿Cuál es la diferencia entre almacenar y enviar por correo electrónico una contraseña de texto sin formato y enviar por correo electrónico un enlace único a una página para restablecer su contraseña cuando la olvida?

Supongo que si usa la misma contraseña en un sitio diferente, podría significar que un pirata informático puede ingresar a sus otras cuentas. O si rompen todo el sitio y se apoderan de la base de datos, e incluso entonces, ¿qué les impide obtener las sales utilizadas para cifrar sus contraseñas?

Enviar las contraseñas en texto sin formato (o que contengan un enlace único a un formulario de restablecimiento) por correo electrónico no hace ninguna diferencia en su capacidad para ingresar al sitio si el pirata informático tiene acceso a su correo electrónico. Básicamente, está atornillado a menos que el sitio tenga una política de solo enviar por correo las contraseñas cuando las olvide, o requiera un token de autenticación como el que ahora requieren los bancos de dispositivos de chip y pin.

No hay nada de malo en almacenar contraseñas de texto plano. De hecho, de alguna manera es la mejor solución.

  

[no] almacenar contraseñas en texto plano limita la seguridad de las comunicaciones.

     

es más seguro enviar contraseñas cifradas a través de la red y almacenarlas en texto plano en la base de datos, que enviar las contraseñas en texto simple a través de la red y almacenarlas cifradas en la base de datos.

     

En otras palabras, el servidor debe conocer la contraseña del usuario para admitir los mecanismos de autenticación más seguros.

fuente: ejabberd Book, capítulo Almacenar contraseñas en texto sin formato en la base de datos para seguridad ( enlace )