Quali sono le implicazioni per la sicurezza se viene inserita una password nel campo Nome utente?
Supponiamo che tu stia passando una brutta giornata e abbia fretta di accedere a un sito Web preferito, quindi inserisci per errore la tua password nella casella di testo del nome utente. Dovresti essere preoccupato e cambiare la password per quel sito Web, o è solo paura senza fondamento?
La sessione di domande e risposte di oggi ci viene fornita per gentile concessione di SuperUser, una suddivisione di Stack Exchange, un raggruppamento di siti Web di domande e risposte basato sulla comunità.
La domanda
Il lettore SuperUser agentnega vuole sapere quali sono i pericoli di digitare la propria password nella casella di testo del nome utente e inviarlo accidentalmente potrebbe essere:
Diciamo che ho digitato la mia password nella casella di testo del nome utente di un sito web visitato di frequente (https, ovviamente) e premi invio prima che io notassi cosa stavo facendo.
La mia password ora è in chiaro in un file di registro da qualche parte? Come potrebbe il mio errore essere sfruttato da un malvivente furbo? Aiutami a comprendere le reali implicazioni per la sicurezza, indipendentemente dalla probabilità che ciò accada realmente.
Sarebbe davvero qualcosa di cui preoccuparsi, o potreste considerarlo come un semplice errore e dimenticarlo?
La risposta
Collaboratori SuperUser Nikolay e GregD hanno la risposta per noi. Per prima cosa, Nikolay:
Dipende dalla configurazione del sistema di autenticazione per il sito web. Se è stato configurato per registrare qualsiasi tentativo, allora sì, è ora nel registro (file di testo o database) in testo semplice. Potrebbe assomigliare a questo:
12 febbraio 2014 12:00 AM: utente di tentativo di accesso non riuscito (YOUR_PASSSORD_HERE) da (YOUR_IP_HERE);
o simili.
È ancora vero che una password non sarà accessibile per gli utenti normali, solo per coloro che hanno accesso ai file di registro.
Quali conseguenze implica?
- Se il server è stato mai compromesso, in teoria, l'hacker avrebbe la tua password di testo normale.
- L'amministratore del sito Web può regolarmente consultare i file di registro e trovare casualmente la password. Può quindi trovare l'indirizzo IP da cui proviene questo record, quindi può teoricamente scoprire qual è il tuo nome utente e la tua e-mail (perché ha accesso al database).
Quindi, se usi la stessa e-mail / username / password su altri siti web, cambiala immediatamente. Perché c'è sempre la possibilità che la tua password venga scoperta. I registri possono rimanere sui server per anni.
Seguito dalla risposta di GregD:
Proprio come hai detto, le applicazioni web tendono a tenere traccia dei tentativi di accesso non riusciti. Se qualcuno dovesse guardare attraverso i log, potrebbe collegare questo particolare tentativo di accesso con uno dei tuoi tentativi riusciti (cioè via l'indirizzo IP).
Anche se non penso che questo possa accadere, puoi sempre cambiarlo per essere sicuro.
Con la raffica costante di violazioni dei dati che leggiamo e sentiamo in questi giorni, sarebbe meglio cambiare la password per il sito web in questione (e tutti gli altri con la stessa password) per la pace della mente. È meglio prevenire che curare quando si tratta della sicurezza dei tuoi account online!
Hai qualcosa da aggiungere alla spiegazione? Audio disattivato nei commenti. Vuoi leggere più risposte dagli altri utenti di Stack Exchange esperti di tecnologia? Controlla la discussione completa qui.
