Si un sitio web permite que otra persona obtenga una lista de las contraseñas de los usuarios del sitio, ¿qué tan probable es que las contraseñas se almacenen en texto simple?

No, no eres paranoico. Es muy probable que las contraseñas se almacenen como texto sin formato en la base de datos (es la explicación más obvia). Algunas estimaciones dicen que 30% de los sitios web almacenan (o han almacenado) las contraseñas de sus usuarios en texto sin formato. Los ejemplos incluyen Reddit.com o RockYou.com. Por lo general, solo después de producirse una infracción grave, los procedimientos de almacenamiento de la contraseña se ponen a prueba.

A menudo, los sitios que almacenan contraseñas en texto sin formato le ofrecerán la posibilidad de volver a enviar la contraseña anterior una vez que la haya olvidado. Eso demuestra bastante esta práctica insegura.

Existe la posibilidad de que las contraseñas se almacenen cifradas y se hayan descifrado para el informe, pero es una práctica poco frecuente. Incluso si las contraseñas están cifradas, siempre habrá un problema de almacenamiento de claves, ya que la aplicación probablemente necesitará acceder a la clave de descifrado para autenticar a sus usuarios.

Por supuesto, lo que debe hacer para la aplicación es salt y hash las contraseñas .

El problema no es almacenar las contraseñas de forma clara, sino almacenar las contraseñas en cualquier formato fácilmente recuperable. Las contraseñas claras son el ejemplo más fácil de eso.

Cualquier contraseña que se pueda enviar a un administrador es, por definición, recuperable, y ¿quién sabe a quién más le enviarán su contraseña?

1. No
2. 100%

Esto suena como uno de esos retrocesos al peor diseño posible. Los gerentes deben tener permisos para ver el trabajo de los empleados, pero eso requiere que el sitio admita un modelo de permisos adecuado. Los administradores deben poder ver un registro de actividad, pero eso requiere que el sitio admita niveles útiles de registro y tenga una interfaz de presentación decente. Dado que esas cosas requieren trabajo, en vez de eso, simplemente han entregado contraseñas. Eso es realmente la liga de Bush.

Al menos el sitio web es honesto en un sentido; su política de privacidad es 'no encontrada'.

es posible que utilicen cifrado asimétrico para almacenar las contraseñas y mantuvieron la clave privada muy segura (una unidad USB en la caja fuerte del administrador) y usaron la clave pública como parte del "hash" de una manera para almacenarla en la base de datos y verificalo

pero realmente quién pensaría hacer eso; es más fácil usar un hash real o un cifrado simétrico (casi tan malo como el texto sin formato) en ese caso