如果您意识到您的电子邮件主机提供商可以看到您的密码，您会做什么？

是的，ISP和电子邮件服务提供商通常以纯文本格式存储您的密码，或者以易于恢复的纯文本格式存储您的密码。

其原因与PPP（拨号和DSL），RADIUS（拨号，802.1x等）和POP（电子邮件）等使用的身份validation协议有关 。

这里的折衷是，如果密码在ISP数据库中是单向散列的，那么唯一可以使用的authentication协议是通过纯文本传输密码的authentication协议。 但是如果ISP存储实际的密码，则可以使用更安全的authentication协议。

例如，PPP或者RADIUSauthentication可能使用CHAP，它保证authentication数据在传输中，但是需要一个明文密码被ISP存储。 与POP3的APOP扩展类似。

此外，ISP提供的所有各种服务都使用不同的协议，唯一的办法是让它们全都通过相同的数据库进行身份validation，并保持密码为纯文本。

但是，这并没有解决ISP的人员可以访问数据库的问题 ，以及如何保证 数据库的 安全 。 你仍然应该问一些关于这些问题的难题。

正如你现在可能已经知道的那样，对于一个ISP的数据库来说，几乎是闻所未闻的，而个人用户被攻破的情况也是如此。 无论如何你都有风险。

另请参见我相信密码永远不可恢复（单向散列）我错了吗？ 在我们的姊妹网站IT安全

不幸的是，这与预算主机相当普遍，而且即使有更大的主机也不是闻所未闻。 像cPanel这样的东西经常需要你的纯文本密码才能像你一样login到各种服务。

您可以做的唯一事情是预先询问密码是否被散列。

他们可能以纯文本或使用某种可逆encryption存储密码。

正如你猜测的那样，这很糟糕。

无论是由于员工的恶意还是疏忽，还是由于外部人员对系统的妥协，纯文本密码被滥用都会造成严重的风险 – 不仅对于他们的系统，而且对于其他系统，人们可能已经使用了相同的密码。

负责存储密码意味着使用单向散列函数而不是可逆encryption，并在用户input中添加一个salt （随机数据）以防止使用彩虹表 。

如果我在你身边，我会询问提供者一些关于如何存储密码的难题，以及他们的支持代表究竟是如何检索密码的。 这可能并不意味着他们以纯文本的forms存储密码，但也许他们会在更改时将它们logging在某处 – 这也是一个巨大的风险。

所有其他答案都很好，有很好的历史意义。

但是，我们生活在一个明文存储密码导致巨大财务问题，并可能彻底摧毁企业的年龄。 通过不安全的电子邮件以纯文本forms发送密码在NSA吮吸所有传递数据的年代听起来也是荒谬的。

您不必接受一些旧协议需要纯文本密码的事实。 如果我们都停止接受这样的服务，那么服务提供商可能会为此做点什么，最后会贬低古代技术。

有些人可以记得，有一次当你想坐飞机去另外一个国家的时候，你会直接从路边停车场走进飞机。 没有安全的东西如此。 现在，人们意识到需要适当的安全措施，所有机场都已经到位。

我会切换到另一个电子邮件提供商。 search“安全的电子邮件提供商”产生许多结果。

评论中有一些好的观点。 可能search“安全的电子邮件提供商”将是非常有意义的，因为所有的电子邮件提供商将夸耀他们是安全的。 但是，我不能推荐一个特定的公司，这也不是一个好主意。 如果您确定某个公司首先询问有关安全性的疑问，那么这将是一件好事。

我的build议是离开，并问下一个家伙他们的政策是什么第一！
如果你感觉不错，你可以告诉老提供者为什么要离开。

另外为了解决另一个答案的说法，彩虹桌的时代已经过去了。 它们已经被高性能的GPU所取代，并占用了太多的存储空间（二进制哈希显然不能很好地压缩，而且不会将它们存储在ASCII中）。 （重新）计算GPU上的散列比从磁盘上读取更快。

根据所使用的哈希algorithm和GPU，现代密码破解计算机可以预计每秒大约1亿次到1亿次哈希。 据此（这与计算机/超级计算机能做的有点过时），这意味着任何6字符的密码都可以在几秒钟内被破解。 所有各种algorithm（MD5，SHA-1，SHA-256，SHA-512，Blowfish等）中的7和8字符散列表将消耗过多的磁盘空间（意识到需要将它们存储在SSD ，而不是一个磁盘，访问速度），你可以看到为什么使用GPU的基于字典的攻击将更快地产生密码。

对于那些进入现场的不错的文章是我如何成为 Ars Technica 的密码破解者 。

这发生在我身上！

几年前，当我的托pipe服务提供商（当时也是我的电子邮件提供商）遭遇安全漏洞时，我的身份遭到了破坏。 我醒来没有能够检查我的电子邮件，因为我的密码已被重置。 随着我的电子邮件控制他们试图重置我的密码在亚马逊和贝宝。 你可以猜到接下来会发生什么，对吗？ 欺诈性的信用卡收费！

幸运的是，我能够比较快速地弄清楚发生了什么，让我的托pipe服务提供商通过电话，尽pipe帐户信息和安全问题发生了变化（几个小时之内），但却刻意validation我的身份。 在这次谈话中，客户服务代表能够告诉我我的密码历史，什么时候改变了，什么时候改变了。 这就是我所需要知道的，我完全需要改变供应商。

没有理由应该发生在你身上，我们的你的公司！

当涉及到安全问题时，我对这家公司的彻底性抱有怀疑，这是我多年来在处理这些问题时所注意到的。 但是我总是相信自己这不是什么大不了的事，或者我错了。 我没有错，你也不是！

如果我第一次怀疑他们没有严肃对待安全问题，那么整个迷你噩梦就不会发生。 想想如果一个有价值的企业账户被破坏会发生什么？ 如果他们只发送垃圾邮件，你会很容易。 我当时正在使用的这家公司也在使用这家提供商，我们已经把我们的工作重点放在了尽快完成。

相信你的直觉！ 不要从懒惰中迁移，或者因为你现有的设置“正常工作”。 低端的安全漏洞，如以明文forms存储密码，不正确地configuration服务器等等，其中最令人头痛的部分是，他们在技术文化方面performance出普遍的无能和/或懒惰，这是一种文化，我不希望我的公司的任务关键服务合同在任何地方。

我可以看到一个替代的解释，你的密码实际上在你的提供者的服务器上被散列。

当提供商联系你一天后，他可能（这是一个猜测）从服务器日志拉他的密码更改脚本通过GET方法提交数据。

这听起来比你的提供者拥有数据库充满了何时，谁以及如何改变他的密码的logging更简单。 你知道奥卡姆的剃刀 …;）