Předpokládejme, že máte špatný den a spěcháte s přihlášením na oblíbený web, a poté místo toho omylem zadejte heslo do textového pole uživatelské jméno. Měli byste si dělat starosti a změnit si heslo pro tento web, nebo je to jen neopodstatněný strach?
Dnešní relace Otázky a odpovědi k nám přichází s laskavým svolením SuperUser - členění Stack Exchange, komunitního seskupení webů otázek a odpovědí.
Otázka
Čtečka SuperUser agentnega chce vědět, jaká nebezpečí by mohla být v případě zadání hesla do textového pole uživatelského jména a náhodného zadání:
Řekněme, že jsem zadal své heslo do textového pole pro uživatelské jméno často navštěvovaného webu ( https samozřejmě ) a stiskněte klávesu Enter, než jsem si všiml, co dělám.
Sedí moje heslo někde v prostém textu v souboru protokolu? Jak by mohla být moje chyba zneužita lstivým ničemem? Pomozte mi pochopit skutečné bezpečnostní důsledky bez ohledu na pravděpodobnost, že k tomu skutečně dojde.
Bylo by to vlastně něco, čeho se musíte bát, nebo byste se na to mohli dívat jako na jednoduchou chybu a zapomenout na ni?
Odpověď
Odpovědi pro nás mají přispěvatelé SuperUser, Nikolay a GregD. Nejprve, Nikolay:
Závisí to na konfiguraci ověřovacího systému pro web. Pokud bylo nastaveno protokolování jakýchkoli pokusů, pak ano, je nyní v protokolu ( textový soubor nebo databáze ) ve formátu prostého textu. Může to vypadat takto:
12. února 2014 0:00:00: Neúspěšný uživatel pokusu o přihlášení (YOUR_PASSSORD_HERE) z (YOUR_IP_HERE);
nebo podobné.
Stále platí, že heslo nebude přístupné pro běžné uživatele, pouze pro ty, kteří mají přístup k souborům protokolu.
Jaké důsledky to znamená?
- Pokud by byl server někdy kompromitován, měl by teoreticky hacker vaše heslo ve formátu prostého textu.
- Správce webu mohl běžně procházet soubory protokolu a náhodou najít vaše heslo. Poté může zjistit IP adresu, ze které tento záznam pochází, a tak teoreticky může zjistit, jaké je vaše uživatelské jméno a e-mail (protože má přístup k databázi).
Pokud tedy používáte stejný e-mail / uživatelské jméno / heslo na jiných webových stránkách, okamžitě to změňte. Protože vždy existuje šance, že vaše heslo bude zjištěno. Protokoly mohou na serverech zůstat roky.
Následuje odpověď od GregD:
Jak jste řekli, webové aplikace mají tendenci vést záznamy o neúspěšných pokusech o přihlášení. Pokud by někdo měl prohlížet protokoly, mohl by spojit tento konkrétní pokus o přihlášení s jedním z vašich úspěšných pokusů ( tj. prostřednictvím IP adresy ).
I když si nemyslím, že se to pravděpodobně stane, můžete to vždy změnit.
S neustálým přívalem narušení dat, o kterém v dnešní době čteme a slyšíme, by bylo lepší změnit heslo pro daný web ( a další uživatelé se stejným heslem ) pro klid v duši. Pokud jde o bezpečnost vašich online účtů, je lepší být v bezpečí než líto!
Máte co dodat k vysvětlení? Zvuk v komentářích. Chcete si přečíst více odpovědí od ostatních technicky zdatných uživatelů Stack Exchange? Podívejte se na celé diskusní vlákno zde .
