¿Cómo puedo saber si un sitio web cifra contraseñas aparte de SSL?

0

Administro un equipo de desarrolladores y solo recientemente descubrí que las contraseñas no están ocultas en el nivel de la base de datos. Estábamos tratando de obtener la aprobación de la PCI y el inspector me informó al nivel secreto que CC y las contraseñas están siendo almacenadas por los desarrolladores sin hashes.

Esto me preocupó. En primer lugar, los usuarios asumen automáticamente que SSL significa que sus datos están encriptados. Esto no es cierto ya que la información de CC y Contraseña en nuestras bases de datos se almacena en texto plano (desde entonces hemos eliminado esto y hemos instalado SALT en todos los datos)

¿Hay alguna forma para que un sitio web vea el lado del servidor o averigüe si las contraseñas y el CC están realmente encriptados?

    
pregunta TheBlackBenzKid 15.11.2016 - 13:16
fuente

2 respuestas

4

Un usuario final solo puede esperar que su contraseña esté hasheada, hasta que el sitio sea hackeado y las contraseñas (o, con suerte, sus versiones con sal y hash) sean filtradas al público.

Como gerente, tienes algunas opciones más. Puede preguntar dónde se almacenan las contraseñas y verificar que no estén almacenadas en texto sin formato.
Podría llevar esto un paso más allá y hacerlo parte de un proceso de prueba automatizado: cree un nuevo usuario, con una contraseña aleatoria. Verifique que la nueva contraseña no aparezca en la tabla de la base de datos que almacena los datos de autenticación del usuario. Incluso podría ir más allá y probar si la tabla que mira, realmente es la tabla que se usa para la autenticación del usuario, por ejemplo, eliminando por la fuerza al usuario en el nivel de la base de datos e intentando iniciar sesión nuevamente.

Desafortunadamente, los sistemas automatizados no pueden ofrecerle una garantía del 100% de que las contraseñas no se almacenan en texto simple en alguna parte en el código.
El proceso humano también es propenso al error y pasa por alto las cosas. Sin embargo, la combinación de buenas pruebas automatizadas y un buen proceso humano (por ejemplo, revisiones de código) debería darle la suficiente confianza de que los datos de su usuario están protegidos adecuadamente. O, si lo peor es lo peor, que al menos hizo un esfuerzo serio para proteger los datos.

Como Khajak Vahanyan señala en los comentarios, SSL / TLS no tiene nada que ver con eso. SSL / TLS trata sobre cómo se transportan los datos a de la aplicación, no sobre qué sucede después con los datos.

    
respondido por el S.L. Barth 15.11.2016 - 14:39
fuente
4

No, no puede estar seguro de que un sitio haya pirateado correctamente su contraseña.

Sin embargo, puede haber algunas señales de que no lo hicieron, especialmente si envían por correo electrónico su contraseña actual como parte de la funcionalidad de "contraseña olvidada".

    
respondido por el Sjoerd 15.11.2016 - 13:36
fuente

Lea otras preguntas en las etiquetas