Mi ciudad tiene facturación en línea para los servicios públicos. Cuando configura una cuenta, le envían por correo electrónico su nombre de usuario y contraseña. No puedes cambiar tu contraseña sin que te la vuelvan a enviar por correo electrónico. ¿No es esto inseguro? ¿No significa eso que mi nombre de usuario y contraseña se están enviando de forma clara y alguien puede iniciar sesión en mi cuenta?
Sí, esto es correcto. Los principios de seguridad dictan que debes poder establecer tu propia contraseña.
Definitivamente es una mala práctica. Esto significa que no hay mecanismos de hashing de contraseñas y la aplicación conoce las contraseñas utilizadas por sus usuarios.
Recomendaría no usar la misma contraseña para sus otras actividades en línea.
Me haré eco de que esta es una práctica muy mala, pero dependiendo de tu situación, puede ser simplemente "pobre" en lugar de "desastrosa".
Por ejemplo, si la información de facturación a la que accede con esas credenciales solo muestra el consumo de energía del número de usuario 3187987 para el mes actual (donde ese número es único y no está relacionado con una persona o dirección), entonces una violación no revela mucha información confidencial.
Algunos sistemas están diseñados deliberadamente con esto en mente; no sabemos si esto se aplica a su situación.
Le animo a que envíe un correo electrónico a su consejo y explique por qué le preocupa la situación actual (háganos saber lo que dicen).
Una solución alternativa, solo para moderar todo este asco: las contraseñas se incluyen y almacenan como asociadas a los nombres de usuario en el servidor, y la respuesta a una "Pregunta de seguridad" (que debemos asumir que existe) se usa para hash la contraseña. Esta es la solución al problema principal: las contraseñas se han cifrado de modo que el servidor, que debemos asumir, no almacena las respuestas, sino que simplemente envía el texto sin formato de la contraseña descifrada, independientemente de su corrección. Ahora, el hash no sería muy fuerte, pero esto funcionaría. Al enviarlo a través de texto simple, hay una gran variedad de cosas que alguien podría hacerle si leen sus correos electrónicos, incluido, por ejemplo, restablecer su contraseña de Paypal (utilizando el enlace de restablecimiento de contraseña). ¿Por qué demonios se molestan en leer tus facturas?
Tengo entendido que, a menos que estén haciendo algo para enviarle el correo electrónico de manera segura, que efectivamente están escribiendo su contraseña en una tarjeta postal y la están enviando para que cualquier rastreador las vea. Combinado con el sistema que tiene su PII (nombre, teléfono, dirección, etc.) e información financiera, me preocuparía. Y si bien es una suposición, supongo que otras áreas de seguridad dentro de esta aplicación no serán mucho mejores.
Si se comunica con el correo electrónico general para solicitar ayuda técnica, es posible que pueda comunicarse con una persona que podrá ponerse en contacto con el desarrollador, con quien podrá hablar.
El hecho de no poder establecer su propia contraseña hoy en día se siente algo extraño. ¿Es porque no confían en los usuarios para usar contraseñas seguras, o porque les resulta más fácil generarlos automáticamente? (Pensaría lo último)
En cuanto al envío del nombre de usuario y la contraseña por correo electrónico, no es el único sitio web que lo hace justo después del registro. Si más adelante solicita su contraseña y se la envían nuevamente, significa que la almacenaron en texto sin cifrar. Si, por otro lado, generan una nueva contraseña, es de esperar que no estén almacenándola en texto simple.
Si están usando HTTPS para enviar el correo electrónico, y estás usando HTTPS para leerlo, ¿debería ser seguro? (siempre y cuando, por supuesto, no estén almacenando las contraseñas en texto sin cifrar, e incluso mejor, estén agregando un salt único a cada cuenta)
Lea otras preguntas en las etiquetas passwords