Yo diría "no mucho", ya que las contraseñas incorrectas casi nunca se almacenan: a menos que haya fallado para obtener el inicio de sesión, la contraseña que estaba correcta suele ser muy Un poco de información más jugosa para agarrar.
Se recomienda no guardar las contraseñas incorrectas en los registros, etc., ya que pueden revelar la contraseña real , incluso si ingresó SqueamishOsprey , un humano podría adivinar la contraseña real, y con cosas como THX138 , una computadora podría hacerlo solo ejecutando una clasificación de Levenshtein en un diccionario de contraseñas.
Una contraseña incorrecta suele ser:
- la contraseña correcta, mal escrita (la mayoría de los casos en mi experiencia)
- una contraseña que era correcta pero ahora ha caducado.
- una contraseña antigua que ya no es relevante, y nunca fue ni siquiera
Su caso,
- una contraseña actual para otro servicio
es, creo, incluso más baja en probabilidad. Cualquier persona que intente capturar contraseñas lo haría después de haber sido validado, o se esforzará por recopilar información sobre su validez en el sistema que , para reducir la carga de tratar con falsos contraseñas Al hacerlo, descartarían el tuyo.
Sus escenarios de riesgo son, entonces, creo:
- la contraseña incorrecta se registra en texto claro y el atacante logra recuperar el texto claro, pero no o no se da cuenta de que la contraseña correcta en ese sistema es otro .
- la contraseña incorrecta se captura (junto con las correctas) y se envía para su explotación, incluso si dicha explotación sería mucho más poderosa y / o rápida si eliminara las contraseñas incorrectas en primer lugar (esto podría suceder, por ejemplo, si un sitio web explotado se acoplara a una red de explotación distribuida. La rapidez en la explotación superaría la necesidad de precisión).
- la interceptación de la contraseña se realiza de tal manera que el atacante no tiene forma de saber si es buena o está mal escrita. Él tiene que probarlos todos. De alguna manera, la misma intercepción también proporciona suficientes detalles sobre su identidad para permitir la selección de otros servicios viables a los que pueda acceder.
- el ataque se dirige a usted (oa todos los usuarios de un sistema pequeño); en ese caso, la contraseña cualquier servirá y ninguna se descartará. No hay necesidad de rapidez ya que el grupo de víctimas es extremadamente pequeño.
Personalmente, creo que todo el escenario anterior es bastante improbable. Por supuesto, su evaluación puede ser diferente, dependiendo de quién sea usted, cuál sea su valor neto, dónde trabaja, etc., todas las cosas que no preguntaré, en caso de que tenga la posibilidad de matar. yo :-)