¿Se debe borrar el campo de la contraseña después de un intento de inicio de sesión fallido?

Se debe borrar.

No es una situación poco común en la que un usuario ingresa la contraseña, hace clic en "iniciar sesión" y se desvía un poco, haciendo otras cosas. Sin duda, me ha ocurrido en el que intenté iniciar sesión en GMail y una hora más tarde conocer el inicio de sesión fallido. También hay sistemas ( sudo apt-get -y install me viene a la mente, aunque en este caso el intento de contraseña fallida no es recuperable) en el que solo necesita autenticarse y luego olvidarse de él -

En la situación de GMail mencionada anteriormente, alguien podría obtener fácilmente la contraseña de texto simple (bueno, la versión tipográfica, pero generalmente es fácil de arreglar eso) si me levanté de mi computadora en esa hora.

  

si un atacante tiene acceso a mi computadora, hay formas más eficientes de dañarme

Hay mucho más caos que puede ser causado si un atacante conoce la contraseña que en el caso en el que el atacante acaba de iniciar sesión, por lo general.

Sin embargo, esto realmente depende del sistema. Para una pantalla de inicio de sesión de escritorio, no importa mucho mientras el campo de la contraseña no sea copiable. Para los servicios en línea, importa mucho más.

No borrar el campo de contraseña tiene los desafortunados efectos secundarios de que algún usuario simplemente asumirá que "meh, no funcionó esta vez" y volverá a enviar la contraseña, sin modificar. Es parte de la psique humana promedio que cuando algo sale mal, el usuario primero pensará que es culpa de otra persona, es decir, que si el inicio de sesión falló, entonces el servidor es responsable, no su propia contraseña.

Este comportamiento implica más trabajo en el servidor (si el servidor almacena hashes de contraseña con hash lento, como debería , entonces esto aumenta la carga computacional en el servidor) y está en desacuerdo con algunas políticas de bloqueo automático (cuando se ingresan demasiadas contraseñas incorrectas, la cuenta está bloqueada o al menos desactivado por unos minutos, como protección contra ataques de diccionario en línea).

Seguridad con las contraseñas reflejadas son lo que @Manishearth analiza : en un genérico De esta manera, una contraseña es sensible y, por lo tanto, se considera mejor si el usuario puede controlar la vida útil de cualquier copia escrita de su contraseña. Si el servidor le devuelve la contraseña al cliente en algunos casos, entonces el usuario ya no puede asegurarse de que no se pueda acceder a una copia escrita de su contraseña en algún momento. Este no es un problema muy serio (se necesita una situación especial para que se convierta en relevante), pero vale la pena pensar en ello.

Por estas razones, recomiendo borrar el campo de contraseña. Malditos sean los usuarios de pantallas táctiles; nadie los obligó a comprar un iPad.

No creo que haga falta un "pirata informático" terriblemente sofisticado para descubrir que document.forms["login"]["password"].value; es una excelente manera de robar una contraseña que aún está escrita. Concedido, hay cosas peores que podrían hacer con tu computadora de esa manera, pero yo diría que es tu responsabilidad como usuario tomar esa decisión; el operador del sitio debe hacer las cosas lo más seguras posible.

Además, si estás en un sitio web bancario, no hay muchas otras cosas que alguien pueda hacer que empeoren la vida ...