Это законно, что мой пароль хранится не в зашифрованном виде?

Question

tiqq @tiqq

Это законно, что мой пароль хранится не в зашифрованном виде?

Здравствуйте.
Помню несколько лет назад зарегистрировался на небезызвестном ozon.ru и получил письмо на почту с благодарностью за регистрацию и ниже прилагались мои логин и пароль в открытом виде - я тогда был в шоке, ибо вообще впервые увидел свой пароль в текстовом формате)

Полез тогда сразу менять этот пароль везде где он только использовался и ходил рассказывал знакомым что такой гигант как озон допускают такое безобразие.

Сейчас признаюсь не знаю как там обстоят дела и не хочу знать, речь сейчас о другом ресурсе.

Зарегистрировался на не менее популярном в своей нише ресурсе twirpx.com, а там такой же фокус - прислали на почту мой пароль в открытом виде.

Вопрос, собственно, какого черта?
Или я чего-то не понимаю и это нормально?
То что они отправляют пароль до того как сохранить в зашифрованном виде вряд ли вероятно, ибо маловероятно что они будут отправлять письмо с благодарностью за регистрацию до факта регистрации.

Что вообще делать в таких ситуациях с сайтами? жаловаться или что?

Я правда не думал что в 2018 году могу столкнуться с таким, за всю жизнь второй такой случай и оба раза от очень крупных ресурсов

Вопрос задан более трёх лет назад
381 просмотр

3 комментария

Подписаться 1 Простой 3 комментария

Станислав Б @S_Borchev

То что они отправляют пароль до того как сохранить в зашифрованном виде вряд ли вероятно, ибо маловероятно что они будут отправлять письмо с благодарностью за регистрацию до факта регистрации.

Это как раз очень вероятно.
Нет никаких проблем отправить письмо с паролем а сохранить его хэш.
Сейчас очень не просто найти того, кто не знает что не стоит хранить не зашифрованные пароли.

А что делать если все же переживаете? Можете не пользоваться такими сайтами. Ну или использовать пароли, которые нигде больше не используются (это не помешает делать в любом случае)

Написано более трёх лет назад
tiqq @tiqq Автор вопроса

Станислав Б, они отправляют письмо с логином и паролем лишь после подтверждения мною регистрации через ссылку в письме, значит прежде чем получить от меня подтверждение они сохранили мой пароль в открытом виде, раз потом мне его отправили, разве не так получается?

Написано более трёх лет назад
АртемЪ @Jump

tiqq, Не так.

Написано более трёх лет назад

Пригласить эксперта

Ответы на вопрос 2

14 комментариев

tiqq @tiqq Автор вопроса

Во первых разумеется это законно. С чего бы вдруг это стало незаконным???

С того что должны же быть какие-то требования к хранению персональных данных

Во вторых - с чего вы взяли что ваш пароль хранится в незашифрованном виде?

Прочтите содержание моего вопроса, тогда поймете, почему я сделал такое предположение

Ну и в третьих - ни один нормальный веб ресурс не хранит пароли в зашифрованном виде.

Так и хочется сказать "Что ты черт побери такое несешь", но я просто спрошу откуда у Вас такие сведения?)

Написано более трёх лет назад
Станислав Б @S_Borchev

tiqq,
С того что должны же быть какие-то требования к хранению персональных данных

пароль - это не персональные данные.

Написано более трёх лет назад
NSA-bot @NSA-bot

tiqq,
Ну и в третьих - ни один нормальный веб ресурс не хранит пароли в зашифрованном виде.

Так и есть. Пароли вообще не хранятся не в зашифрованном ни в каком виде. Хранятся хэши паролей. Разве не так?

Написано более трёх лет назад
tiqq @tiqq Автор вопроса

NSA-bot, Зашифрованный пароль и хэш пароля это одно и то же. К паролю применяется хэш-функция, которая из вашего набора символов создает другой набор символов и в базу данных записывается именно созданный этой функцией набор символов, то есть тот самый хэш, а не ваш пароль. Точнее мне всегда казалось что так происходит, но как видите есть люди которые утверждают что нормальные ресурсы не хранят таким образом пароли

Написано более трёх лет назад
Lander @usdglander

tiqq,
Зашифрованный пароль и хэш пароля это одно и то же.

Это к вопросу о компетенции...

Написано более трёх лет назад
tiqq @tiqq Автор вопроса

Lander, а что, собственно, не так? можете пожалуйста просветить? Можете назвать источники, где опровергается то, что я сказал? Я встречал лишь подобные определения, каким образом они противоречат сказанному мною?

Написано более трёх лет назад
Lander @usdglander

tiqq, Я прекрасно знаю определения этих понятий. А для вас хэширование и шифрование - один и тот же процесс. Цитату, подтверждающую мои слова, я вставил выше.

Написано более трёх лет назад
NSA-bot @NSA-bot

tiqq, всегда думал, что шифрование это когда можно потом обратно расшифровать, чего с хэшем я проделать не могу. Но видимо я что-то упустил :(

Написано более трёх лет назад
tiqq @tiqq Автор вопроса

Lander, Вы серьезно?) Вы решили придраться к тому, что я вместо слова хеширование употребил слово шифрование? Неужели это было настолько неочевидно, что именно я имел в виду, говоря о хранении паролей в зашифрованном виде?) Из контекста не было понятно, что речь о том, что они вместо хеша хранят исходный пароль? Я тут уже не знал что и думать, что ни скажу - все не то, все не так, оказывается тут просто молодежь самореализуется за счет подобных мелочей. Прекращайте, если бы Вы вежливо заметили, что употреблять слово зашифрованный не совсем корректно, это было бы по-взрослому, а то как Вы себя ведете это мягко говоря инфантильно

Написано более трёх лет назад
Lander @usdglander

tiqq,
оказывается тут просто молодежь самореализуется за счет подобных мелочей

то как Вы себя ведете это мягко говоря инфантильно

Да. Всё так и есть.

Написано более трёх лет назад
NSA-bot @NSA-bot

Я не придираюсь. Я не могу видеть, что у Вас в мозгах и не хочу догадываться. Просто читаю, что пишут и отвечаю в соответствии с этим :)

Написано более трёх лет назад
АртемЪ @Jump

tiqq,
1) Пароль не является персональными данными.
2) Исходя из вашего вопроса, вам просто прислали ваш пароль на почту - для этого его не нужно хранить, они получили ваш пароль, обработали регистрацию и отправили вам письмо с вашим паролем. Но хранить то его зачем? Он в памяти лежал.
3)Ни одна нормальная компания вообще не хранит пароли пользователей, ни в каком виде, в том числе и в зашифрованном! Хранятся только хэши.

Написано более трёх лет назад
АртемЪ @Jump

Зашифрованный пароль и хэш пароля это одно и то же
Очень сильное заблуждение.
Зашифрованная информация это информация которую можно восстановить зная алгоритм и ключ шифрования.

А хэш это просто результат математической функции.
Вот например 6ab57ea4c8312c9d6acb66cc5f687a0e хэш фильма Аватар.
Вы сможете из этой строчки воссоздать фильм Аватар? А в зашифрованном виде фильм Аватар будет иметь размер не меньше чем оригинал - 50гигабайт информации, в 32 байта вы точно не сможете уместить фильм.
То же самое и с паролем.
Хэш не содержит в себе пароля ни в каком виде, узнать пароль зная хэш невозможно.

Вот пример простейшей хэш функции - считаем количество символов в слове.
Например слово "Пример" будет иметь хэш 6
Зная хэш 6 вы сможете восстановить это слово?

Это конечно очень кривая функция хэширования имеющая множество коллизий, но тем не менее.

Написано более трёх лет назад
АртемЪ @Jump

Неужели это было настолько неочевидно, что именно я имел в виду, говоря о хранении паролей в зашифрованном виде?)
Обычно когда говорят шифрование имеют ввиду именно шифрование.
Ибо хэширование абсолютно другой процесс.

Если вы храните зашифрованный пароль - вы таких храните пароль.
А если вы храните только хэш пароля - вы не храните пароль.

Написано более трёх лет назад

Комментировать

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Информационная безопасность

+1 ещё

Простой
Как запустить vbs с правами администратора, но без ввода пароля?
- 1 подписчик
- 15 часов назад
- 50 просмотров
1

ответ
Информационная безопасность

+1 ещё

Средний
Как рассчитать количество информации в двоично-симметричном канале?
- 1 подписчик
- вчера
- 40 просмотров
0

ответов
Информационная безопасность

Простой
Какие сканеры уязвимости посоветуете?
- 1 подписчик
- 22 апр.
- 90 просмотров
1

ответ
Информационная безопасность

+1 ещё

Средний
Может ли при подключении внешний жёсткий диск показать иной серийный номер?
- 1 подписчик
- 22 апр.
- 73 просмотра
0

ответов
Информационная безопасность

+1 ещё

Простой
В каких случаях возможно использование несертифицированного Web Application Firewall?
- 2 подписчика
- 22 апр.
- 150 просмотров
2

ответа
Компьютерные сети

+2 ещё

Средний
Как настроить ACL между vlan, чтобы был полный доступ с одного vlan, с другого нет?
- 1 подписчик
- 18 апр.
- 136 просмотров
2

ответа
Информационная безопасность

+4 ещё

Простой
Как исправить ошибку 0x138c при настройке консолидации логов с одного контроллера домена на другой?
- 1 подписчик
- 07 апр.
- 84 просмотра
0

ответов
Windows

+4 ещё

Средний
Как исключить Извещение безопасности Microsoft Outlook для ссылок в письмах?
- 2 подписчика
- 07 апр.
- 221 просмотр
1

ответ
Информационная безопасность

Простой
Информационная безопасность в облачных сервисах?
- 2 подписчика
- 03 апр.
- 217 просмотров
5

ответов
JavaScript

+1 ещё

Средний
Как исправить уязвимость Prototype-polluting function в JS?
- 1 подписчик
- 31 мар.
- 96 просмотров
0

ответов
Показать ещё Загружается…

Специалист по управлению уязвимостями (информационная безопасность)

Гринатом • Москва

от 100 000 до 120 000 ₽

Специалист по информационной безопасности

Данафлекс • Казань

от 90 000 ₽

Руководитель направления информационной безопасности ОКИИ

Интер РАО – Управление сервисами • Санкт-Петербург

от 180 000 ₽

Настроить перехват https-трафика для android-приложения

25 апр. 2024, в 01:02

7000 руб./за проект

Программа (скрипт) для автоматизации торговли Solana

25 апр. 2024, в 00:45

100 руб./в час

Телеграм-Бот для выдачи конфигов VPN (VLESS/Reality)

25 апр. 2024, в 00:32

10000 руб./за проект

То что они отправляют пароль до того как сохранить в зашифрованном виде вряд ли вероятно, ибо маловероятно что они будут отправлять письмо с благодарностью за регистрацию до факта регистрации.

Это как раз очень вероятно.
Нет никаких проблем отправить письмо с паролем а сохранить его хэш.
Сейчас очень не просто найти того, кто не знает что не стоит хранить не зашифрованные пароли.

А что делать если все же переживаете? Можете не пользоваться такими сайтами. Ну или использовать пароли, которые нигде больше не используются (это не помешает делать в любом случае)
Станислав Б, они отправляют письмо с логином и паролем лишь после подтверждения мною регистрации через ссылку в письме, значит прежде чем получить от меня подтверждение они сохранили мой пароль в открытом виде, раз потом мне его отправили, разве не так получается?

Answer 1 · 2018-10-26 15:57:18

Это законно, что мой пароль хранится не в зашифрованном виде?

Во первых разумеется это законно. С чего бы вдруг это стало незаконным???
По идее они могут при желании даже публиковать его в открытом доступе- это как бы нафиг не нужно и не имеет смысла, но тем не менее абсолютно законно.

Во вторых - с чего вы взяли что ваш пароль хранится в незашифрованном виде?

Ну и в третьих - ни один нормальный веб ресурс не хранит пароли в зашифрованном виде.

Что вообще делать в таких ситуациях с сайтами? жаловаться или что?

Если вас это по каким-то причинам не устраивает, не пользоваться услугами этих ресурсов.
Так же можно пожаловаться в спортлото. Именно туда жалуются в подобных случаях.

Answer 2 · 2018-10-26 21:03:16

Dimonchik @dimonchik2013

non progredi est regredi

https://www.anekdot.ru/id/274750/

Ответ написан более трёх лет назад

Комментировать

Это законно, что мой пароль хранится не в зашифрованном виде?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт