Каковы последствия безопасности при вводе пароля в поле имени пользователя?

19

Допустим, я набрал свой пароль в текстовом поле имени пользователя на часто посещаемом веб-сайте (конечно, https) и нажал клавишу ввода, прежде чем заметил, что я делаю.

Мой пароль сейчас находится где-нибудь в незашифрованном виде в файле журнала? Как моя ошибка могла быть использована хитрым злоумышленником? Помогите мне понять фактические последствия для безопасности, независимо от вероятности того, что это действительно произойдет.

security passwords agentnega
источник
4
Я не понимаю, почему этот вопрос помечен как «основанный на мнении». В нем четко задается вопрос «Каковы последствия для безопасности», которые могут быть (и даны, по крайней мере, с учетом принятого ответа) подкреплены фактами.
Calimo
Это по теме на security.stackexchange.com
kinokijuf
@kinokijuf: Конечно, сначала я это обдумал Information Security Stack Exchange is a question and answer site for Information security professionals. Я не один, и я не думаю, что нам нужен один, чтобы ответить на этот вопрос. Я допустил ошибку, которую мог сделать любой пользователь, и думаю, что ответы интересны пользователям, а не специалистам по безопасности. Однако я, безусловно, могу ошибаться.
agentnega
Вы правы, это должно было быть закрыто как "слишком широкое"
случайно

Ответы:

18

Это зависит от конфигурации системы аутентификации сайта. Если он был настроен для регистрации каких-либо попыток - чем да, он теперь находится в журнале (текстовый файл или база данных) в виде простого текста. Это может выглядеть так:

12-Feb-2014 12:00:00 AM: Unsuccessful login attempt user (YOUR_PASSWORD_HERE) from (YOUR_IP_HERE);

или похожие.

Все еще верно, что пароль не будет доступен для обычных пользователей. Только для тех, кто имеет доступ к файлам журнала.

Какие последствия это подразумевает?

  • Если сервер будет взломан - теоретически у хакера будет ваш простой текстовый пароль.
  • Администратор сайта может регулярно просматривать файлы журнала и случайно находить ваш пароль. Затем он может найти, с какого IP-адреса пришла эта запись, и, таким образом, теоретически он может найти ваше имя пользователя и адрес электронной почты (поскольку он имеет доступ к базе данных).

Так что, если у вас есть тот же адрес электронной почты / имя пользователя / пароль на других ресурсах - тогда измените его немедленно. Потому что есть вероятность, что ваш пароль будет найден. Логи могут оставаться на серверах годами.

VL-80
источник
8
Там также может быть локальная запись вашей попытки. Многие (большинство?) Браузеров имеют функцию автозаполнения, которая включена по умолчанию и сохраняет для вас определенные записи формы - имя пользователя, адрес электронной почты, номер телефона и т. Д. - для вашего удобства. Если вы снова откроете страницу входа в систему, нажмите на поле имени пользователя и нажмите клавишу со стрелкой вниз, чтобы увидеть ваш пароль вместе с именами пользователей. Вы можете удалить его из списка, однако, чтобы быть в полной безопасности, было бы лучше изменить свой пароль, как предложено выше.
gm2
5

Как вы сказали, веб-приложения обычно ведут журнал неудачных попыток входа. Если кто-то просматривает журналы, он может связать эту конкретную попытку входа с другой успешной попыткой (например, по IP-адресу).

Хотя я не думаю, что это может произойти, вы всегда можете изменить это, чтобы быть уверенным.

dominiczaq
источник