Tengo una cuenta de usuario para cada uno de mis hijos en el sitio web de nuestro distrito, que supervisa el registro, calificaciones, identificación, etc.
Hace poco me enviaron a casa un formulario de los dos salones de clase de mis hijos pidiéndonos que iniciemos sesión en nuestras cuentas para que podamos firmar un nuevo formulario para el año escolar. En esta hoja de papel se imprimió el nombre de usuario y la contraseña de nuestras cuentas.
La práctica de seguridad de enviar contraseñas impresas a casa es inmediatamente desalentadora, pero mi mayor preocupación es cómo se almacena mi contraseña en el sistema del distrito (y, en última instancia, qué pasaría si ese sistema estuviera comprometido).
Quiero comunicarme con el webmaster, pero quiero asegurarme de que estoy en lo cierto en cualquier suposición que haga antes de disparar mi correo electrónico y pedir que se tomen medidas para evitar este tipo de cosas. Vi una pregunta relacionada , y quiero asegurarme de no saltar el arma al acosarlos sobre sus políticas de almacenamiento.
-
Dado que se le ha pedido varias veces, esta es una contraseña que configuré en la cuenta, no una contraseña generada automáticamente. Además, esta es una cuenta que los padres controlan; contiene información de identificación sensible de su hijo. No está pensado como un portal de estudiantes ni nada por el estilo.
-
Update_1 :
Recibí una llamada del administrador del sitio web del distrito hoy, deseando hablar sobre mi correo electrónico con más detalle. Expliqué que mis preocupaciones eran dobles: (a) la transmisión de nuestra contraseña en un papel impreso, y (b) la capacidad de recuperar esa contraseña en primer lugar.
Me informaron que el sistema es un sistema heredado y, como tal, no tiene la capacidad de permitir una función de "olvidé mi contraseña". Si bien la política, acordaron, es incorrecta, la alternativa es que todos los padres que no recuerden su contraseña ingresen a la escuela con una identificación para recuperar su contraseña. (También me informaron que dado que estamos en un distrito con una pobreza del 60%, asumiendo que todos los padres tienen una dirección de correo electrónico para la administración de contraseñas no es una opción). Si bien esto es un inconveniente increíble, expliqué el inconveniente de que alguien tenga acceso a mis cuentas porque tenían acceso a mi contraseña.
También me informaron que el sistema se reemplazará el próximo año, que vendrá con características de seguridad más modernas (sin embargo, no estoy seguro de las políticas de almacenamiento en el futuro del sistema).
La señora fue muy educada y se ofreció a ponerme en contacto con su director de TI para discutir mis inquietudes sobre las políticas de almacenamiento de contraseñas, que acepté. También se ofreció a BCC en un correo electrónico al director de nuestra escuela, solicitando que las comunicaciones futuras se emitan en un formato sellado.
Finalmente, en primer lugar me regañaron un poco (y correctamente) por reutilizar mi contraseña.