Почему сайт не должен уметь расшифровывать ваш пароль
Если сервис способен расшифровать пароли пользователей, это красный флаг. Нормальной системе паролей такая возможность вообще не нужна.
Почему сама идея расшифровки здесь плоха
Пароль — не документ, который сервису нужно потом снова прочитать. Для входа достаточно безопасно сравнить результат обработки, а не знать исходную строку.
Если сервис способен восстановить пароль, значит эту возможность может получить и кто-то ещё: атакующий, внутренний злоумышленник или просто плохо настроенная система.
Как распознать проблемную систему
- Сервис присылает старый пароль открытым текстом.
- Поддержка или внутренние процессы предполагают, что исходный пароль известен системе.
- В документации фигурирует «расшифровка» вместо нормального хеширования.
Какой вывод из этого должны сделать все
Пользователям стоит особенно осторожно относиться к таким сервисам и ни в коем случае не повторять там свои пароли. Разработчикам — уходить от обратимого хранения как можно быстрее.
С точки зрения security review это почти всегда признак фундаментальной проблемы в архитектуре.
Быстрый контрольный список
Самые важные действия из этого руководства в компактной форме.
- Никогда не повторяйте один и тот же пароль в разных сервисах.
- При разработке используйте только необратимое хранение паролей.
- Считайте тревожным сигналом письма с паролем, странные процессы поддержки и любые признаки «читаемого» хранения.
Общие вопросы
Создайте надежный пароль сейчас
Используйте генератор Zenkey.click, чтобы сразу создать надежный случайный пароль или безопасную парольную фразу.