Me he encontrado con algunas organizaciones que afirman que las contraseñas no distinguen entre mayúsculas y minúsculas. Obviamente, esto es ridículo y una bandera roja gigantesca desde el punto de vista de la seguridad.
¿Hay alguna explicación de por qué una contraseña no distingue entre mayúsculas y minúsculas, además de almacenar las contraseñas en texto simple?
Las únicas razones que conozco están basadas en el legado o en el rendimiento (este último también es un problema de legado)
Ambas razones inútiles que no deberían tener aplicabilidad en estos días.
Estoy de acuerdo con Emil en que es una cuestión de usabilidad. Hacer que las contraseñas no distingan entre mayúsculas y minúsculas pone fin al error común del usuario de ingresar la contraseña con mayúsculas bloqueadas.
Además, una contraseña que no distingue entre mayúsculas y minúsculas no tiene que almacenarse en texto sin formato, simplemente se puede convertir a minúsculas antes de hacer un hash. La única preocupación de seguridad con tener contraseñas que no distinguen entre mayúsculas y minúsculas es que reduce la complejidad de las contraseñas, pero esto puede mitigarse al requerir contraseñas o frases de contraseña más largas.
Una posible razón podría ser la usabilidad. Todos hemos visto cómo a algunos usuarios les resulta difícil escribir su contraseña correctamente, debido a bloqueos de mayúsculas o casos incorrectos.
Tener contraseñas que no distinguen entre mayúsculas y minúsculas aumenta el éxito del inicio de sesión.
Al aplanar el estuche, permite que las personas ingresen contraseñas en el teclado de un teléfono tradicional. He visto más de un ejemplo de un banco que hace esto para que los clientes puedan tener la misma contraseña en el sitio web, como lo hacen por teléfono.
es decir.
contraseña: joe123
en el teléfono: 563123
Esto es obviamente un compromiso significativo en seguridad, y limita la contraseña a 24 de las 26 letras en un alfabeto inglés, si asume teléfonos muy viejos .
En algunos sistemas anteriores, en los días de conexiones de 7 bits, si dio su nombre de usuario en mayúsculas, asumió que no podía hacer caso mixto, y aplanó su contraseña durante la autenticación.
Lea otras preguntas en las etiquetas passwords password-management password-policy