Hogyan tárolják a webhelyek a jelszavakat?
A megbízható webhelyek nem nyílt szövegként tárolják a jelszavakat, hanem kivonatolt értékekként, olyan kiegészítő védelemmel, mint a só és a modern jelszókivonatolási eljárások.
Miért nincs szüksége a webhelynek nyílt szöveges jelszóra
Egy szolgáltatásnak nem kell tudnia kiolvasni a jelszavát ahhoz, hogy bejelentkeztesse. Csak azt kell ellenőriznie, hogy a megadott jelszó megfelel-e a korábban tárolt hash-nek.
Ezért a jelszavakat ideális esetben nem visszafordítható módon tárolják, hanem megfelelő eljárásokkal biztonságos összehasonlítási értékekké alakítják.
A szokásos biztonságos eljárás
- A jelszó beállításakor hozzáad egy sót és egy hash jön létre.
- Nem maga a jelszó kerül az adatbázisba, hanem csak az abból származó érték plusz a szükséges metaadatok.
- Amikor bejelentkezik, ugyanaz a folyamat újra lefut, és összehasonlítja a tárolt hash-sel.
Ahol a megvalósítás sikertelen
Problémák merülnek fel, ha az alkalmazások elavult algoritmusokat, túl kevés paramétert vagy akár visszafordítható tárhelyet használnak. Ekkor az adatbázis-szivárgás lényegesen veszélyesebbé válik.
Felhasználói szempontból ez egy újabb ok arra, hogy soha ne használjuk fel újra a jelszavakat. Még ha egy szolgáltató rosszul van is megvalósítva, a kár nem terjedhet át más fiókokra.
Gyors áttekintés
A cikk legfontosabb pontjai rövid formában.
- Csak modern jelszókivonatolási eljárásokat használjon saját projektjeiben.
- Felhasználóként erős, egyedi jelszavakat használjon, mert soha nem tudja teljes mértékben ellenőrizni a szerver megvalósítását.
- Rendszeresen ellenőrizze a régi fiókokat, és ha nem biztos benne, frissítse azokat.
Gyakori kérdések
Készítsen erős jelszót most
Használja a Zenkey.click generátorát, és hozzon létre azonnal egy erős véletlenszerű jelszót vagy biztonságos jelmondatot.
Kivonatolás vs. jelszavak titkosítása
Ha folytatná az olvasást, ez a legtermészetesebb következő cikk.
A kivonatolást és a titkosítást gyakran összekeverik. Jelszavak esetén a kivonatolás a megfelelő megközelítés, mivel a kiszolgálónak nem szabadna tudnia visszaállítani az eredeti jelszót.