สมมติว่าคุณมีวันที่เลวร้ายและรีบล็อกอินเข้าสู่เว็บไซต์โปรดแล้วเผลอส่งรหัสผ่านในกล่องข้อความชื่อผู้ใช้แทน คุณควรกังวลและเปลี่ยนรหัสผ่านสำหรับเว็บไซต์นั้นหรือเป็นเพียงแค่ความกลัวอย่างไร้เหตุผล?
เซสชันคำถามและคำตอบของวันนี้มาถึงเราโดยได้รับความอนุเคราะห์จาก SuperUser ซึ่งเป็นแผนกย่อยของ Stack Exchange ซึ่งเป็นการรวมกลุ่มเว็บไซต์ถาม & ตอบโดยชุมชน
คำถาม
ตัวแทนผู้อ่าน SuperUsernega ต้องการทราบว่าการพิมพ์รหัสผ่านลงในกล่องข้อความชื่อผู้ใช้มีอันตรายอย่างไรและการส่งรหัสผ่านไปโดยไม่ได้ตั้งใจอาจเป็นดังนี้:
สมมติว่าฉันพิมพ์รหัสผ่านลงในกล่องข้อความชื่อผู้ใช้ของเว็บไซต์ที่เข้าชมบ่อย ( https แน่นอน ) และกด Enter ก่อนที่ฉันจะสังเกตเห็นว่าฉันกำลังทำอะไรอยู่
ตอนนี้รหัสผ่านของฉันอยู่ในรูปแบบข้อความธรรมดาในไฟล์บันทึกหรือไม่ ความผิดพลาดของฉันจะถูกใช้ประโยชน์โดยผู้ไม่ประสงค์ดีได้อย่างไร? ช่วยให้ฉันเข้าใจผลกระทบด้านความปลอดภัยที่แท้จริงโดยไม่คำนึงถึงความเป็นไปได้ที่จะเกิดขึ้นจริง
นี่จะเป็นสิ่งที่น่าเป็นห่วงจริง ๆ หรือคุณอาจมองว่านี่เป็นความผิดพลาดง่ายๆและลืมมันไป?
คำตอบ
ผู้สนับสนุน SuperUser Nikolay และ GregD มีคำตอบให้เรา ก่อนอื่น Nikolay:
ขึ้นอยู่กับการกำหนดค่าระบบตรวจสอบความถูกต้องสำหรับเว็บไซต์ หากมีการตั้งค่าเพื่อบันทึกความพยายามใด ๆ แสดงว่าใช่ตอนนี้อยู่ในบันทึกแล้ว ไฟล์ข้อความหรือฐานข้อมูล ) ในข้อความธรรมดา อาจมีลักษณะดังนี้:
12 ก.พ. 2557 00:00:00 น.: ผู้ใช้พยายามเข้าสู่ระบบไม่สำเร็จ (YOUR_PASSSORD_HERE) จาก (YOUR_IP_HERE);
หรือคล้ายกัน
ยังคงเป็นความจริงที่รหัสผ่านจะไม่สามารถเข้าถึงได้สำหรับผู้ใช้ทั่วไปเฉพาะผู้ที่สามารถเข้าถึงไฟล์บันทึกได้
ผลที่ตามมาหมายถึงอะไร?
- หากเซิร์ฟเวอร์เคยถูกบุกรุกในทางทฤษฎีแฮ็กเกอร์จะมีรหัสผ่านแบบข้อความธรรมดาของคุณ
- ผู้ดูแลระบบของเว็บไซต์สามารถเข้าไปดูไฟล์บันทึกเป็นประจำและพบรหัสผ่านของคุณโดยบังเอิญ จากนั้นเขาสามารถค้นหาที่อยู่ IP ที่บันทึกนี้มาและด้วยเหตุนี้เขาจึงสามารถค้นหาได้ในทางทฤษฎีว่าชื่อผู้ใช้และอีเมลของคุณคืออะไร (เพราะเขาสามารถเข้าถึงฐานข้อมูลได้)
ดังนั้นหากคุณใช้อีเมล / ชื่อผู้ใช้ / รหัสผ่านเดียวกันบนเว็บไซต์อื่นให้เปลี่ยนทันที เนื่องจากมีโอกาสเสมอที่รหัสผ่านของคุณจะถูกค้นพบ บันทึกสามารถคงอยู่บนเซิร์ฟเวอร์ได้เป็นเวลาหลายปี
ตามด้วยคำตอบจาก GregD:
เช่นเดียวกับที่คุณกล่าวมาเว็บแอปพลิเคชันมักจะเก็บบันทึกการพยายามเข้าสู่ระบบที่ไม่สำเร็จ หากมีคนตรวจสอบบันทึกเขาสามารถเชื่อมต่อการพยายามเข้าสู่ระบบนี้กับหนึ่งในความพยายามที่ประสบความสำเร็จของคุณ ( เช่นผ่านที่อยู่ IP ).
แม้ว่าฉันไม่คิดว่าสิ่งนี้จะเกิดขึ้น แต่คุณสามารถเปลี่ยนแปลงได้เสมอ
เนื่องจากการละเมิดข้อมูลอย่างต่อเนื่องที่เราได้อ่านและได้ยินเกี่ยวกับทุกวันนี้การเปลี่ยนรหัสผ่านสำหรับเว็บไซต์ที่เป็นปัญหาจะดีกว่า ( และอื่น ๆ ที่มีรหัสผ่านเดียวกัน ) เพื่อความสบายใจ. จะดีกว่าที่จะปลอดภัยมากกว่าเสียใจในเรื่องความปลอดภัยของบัญชีออนไลน์ของคุณ!
มีสิ่งที่จะเพิ่มคำอธิบาย? ปิดเสียงในความคิดเห็น ต้องการอ่านคำตอบเพิ่มเติมจากผู้ใช้ Stack Exchange ที่เชี่ยวชาญด้านเทคโนโลยีคนอื่น ๆ หรือไม่? ดูกระทู้สนทนาฉบับเต็มได้ที่นี่ .
