Jak strony naprawdę przechowują hasła
Dobrze zaprojektowana strona nie przechowuje haseł w czystym tekście. Zamiast tego używa haszowania, soli i nowoczesnych mechanizmów ochrony.
Dlaczego strony internetowe nie potrzebują haseł w postaci zwykłego tekstu
Serwis nie musi znać Twojego hasła, aby się zalogować. Wystarczy, że sprawdzi, czy wpis zgadza się z przechowywanym wcześniej dowodem.
Dlatego najlepiej nie przechowywać haseł w sposób odwracalny, lecz raczej je przekształcać w bezpieczne wartości porównawcze przy użyciu odpowiednich procedur.
Zwykła bezpieczna procedura
- Podczas ustawiania hasła dodawana jest sól i tworzony jest skrót.
- To nie samo hasło ląduje w bazie danych, a jedynie wyprowadzona z niego wartość plus niezbędne metadane.
- Po zalogowaniu ten sam proces jest wykonywany ponownie i porównywany z przechowywanym skrótem.
Tam, gdzie wdrożenia zawodzą
Problemy pojawiają się, gdy aplikacje korzystają z przestarzałych algorytmów, zbyt małej liczby parametrów lub nawet odwracalnej pamięci masowej. Wtedy wycieki baz danych stają się znacznie bardziej niebezpieczne.
Z punktu widzenia użytkownika jest to kolejny powód, aby nigdy nie używać ponownie haseł. Nawet jeśli dostawca zostanie źle wdrożony, szkody mogą nie rozprzestrzenić się na inne konta.
Szybka lista
Najważniejsze działania z tego poradnika w krótkiej formie.
- We własnych projektach używaj wyłącznie nowoczesnych procedur mieszania haseł.
- Jako użytkownik używaj silnych, unikalnych haseł, ponieważ nigdy nie masz pełnej kontroli nad implementacją serwera.
- Regularnie sprawdzaj stare konta i aktualizuj je, jeśli nie masz pewności.
Najczęstsze pytania
Utwórz silne hasło teraz
Skorzystaj z generatora Zenkey.click, aby od razu stworzyć mocne losowe hasło albo bezpieczną frazę hasłową.
Haszowanie i szyfrowanie haseł: jaka jest różnica?
Jeśli chcesz czytać dalej, od tego materiału najlepiej przejść dalej.
Haszowanie i szyfrowanie są często mylone. W przypadku haseł właściwym podejściem jest hashowanie, ponieważ serwer nie powinien być w stanie odzyskać oryginalnego hasła.