Siempre entendí que los servidores no almacenan realmente las contraseñas de los usuarios. En su lugar, almacenan hashes de contraseñas y luego validan la entrada del usuario aplicando la función hash, luego comparan el resultado hash con el valor hash almacenado localmente en el servidor. Sin recibir una contraseña y luego aplicar esta operación de hash y comparar, un usuario no tiene acceso.
Si este es el caso, ¿cómo pueden ser robadas miles de contraseñas de cuentas de Yahoo, como se informó recientemente?
Si este no es el caso (en cuanto a cómo se realiza la autenticación de la contraseña de Yahoo), ¿cómo se hace? ¿Realmente mantienen las contraseñas reales a mano? ¿Es esta práctica común?