我们去年从我们的托pipe服务提供商处收到了一封关于我们的某个帐户的电子邮件,它已经被妥协并用于提供相当丰厚的垃圾邮件帮助。
很显然,用户已经重置了她的密码来改变她的名字(姓氏是你可能第一次猜到的东西)。她在一周之内迅速被黑客入侵 – 她的账户发出了大量的27万封垃圾邮件,而且非常快受阻。
到目前为止,没有什么特别的。 那个会发生。 您可以将密码更改为更安全的密码,然后教育用户并继续前进。
然而, 更令我担心的是,我们的一个账户已经被妥协了。
我们的托pipe服务提供商为了提供帮助,实际上在以下电子邮件中引用了我们的密码 :
我感到惊讶。 我们很快就要续签合同了,这感觉就像一个破产者。
托pipe服务提供商能够find账户中使用的实际密码的常见程度如何?
大多数托pipe服务提供商是否有一个账号滥用部门,比前线代表拥有更多的访问权限(如果需要,可以查找密码),还是这些人没有按照最佳做法让他们的任何员工访问用户密码? 我以为密码应该是散列,不可检索? 这是否意味着他们以纯文本存储每个人的密码?
托pipe服务提供商是否能以这种方式发现账户密码是合法的 ? 对我来说这似乎太不可思议了。
在我们考虑不断变化的提供者之前,我希望得到一些保证,这不是通常的做法,而且我们的下一个托pipe提供者也不可能把事情设置成相同的方式。
期待听到你的意见。
是的,ISP和电子邮件服务提供商通常以纯文本格式存储您的密码,或者以易于恢复的纯文本格式存储您的密码。
其原因与PPP(拨号和DSL),RADIUS(拨号,802.1x等)和POP(电子邮件)等使用的身份validation协议有关 。
这里的折衷是,如果密码在ISP数据库中是单向散列的,那么唯一可以使用的authentication协议是通过纯文本传输密码的authentication协议。 但是如果ISP存储实际的密码,则可以使用更安全的authentication协议。
例如,PPP或者RADIUSauthentication可能使用CHAP,它保证authentication数据在传输中,但是需要一个明文密码被ISP存储。 与POP3的APOP扩展类似。
此外,ISP提供的所有各种服务都使用不同的协议,唯一的办法是让它们全都通过相同的数据库进行身份validation,并保持密码为纯文本。
但是,这并没有解决ISP的人员可以访问数据库的问题 ,以及如何保证 数据库的 安全 。 你仍然应该问一些关于这些问题的难题。
正如你现在可能已经知道的那样,对于一个ISP的数据库来说,几乎是闻所未闻的,而个人用户被攻破的情况也是如此。 无论如何你都有风险。
另请参见我相信密码永远不可恢复(单向散列)我错了吗? 在我们的姊妹网站IT安全
不幸的是,这与预算主机相当普遍,而且即使有更大的主机也不是闻所未闻。 像cPanel这样的东西经常需要你的纯文本密码才能像你一样login到各种服务。
您可以做的唯一事情是预先询问密码是否被散列。
他们可能以纯文本或使用某种可逆encryption存储密码。
正如你猜测的那样,这很糟糕。
无论是由于员工的恶意还是疏忽,还是由于外部人员对系统的妥协,纯文本密码被滥用都会造成严重的风险 – 不仅对于他们的系统,而且对于其他系统,人们可能已经使用了相同的密码。
负责存储密码意味着使用单向散列函数而不是可逆encryption,并在用户input中添加一个salt (随机数据)以防止使用彩虹表 。
如果我在你身边,我会询问提供者一些关于如何存储密码的难题,以及他们的支持代表究竟是如何检索密码的。 这可能并不意味着他们以纯文本的forms存储密码,但也许他们会在更改时将它们logging在某处 – 这也是一个巨大的风险。
所有其他答案都很好,有很好的历史意义。
但是,我们生活在一个明文存储密码导致巨大财务问题,并可能彻底摧毁企业的年龄。 通过不安全的电子邮件以纯文本forms发送密码在NSA吮吸所有传递数据的年代听起来也是荒谬的。
您不必接受一些旧协议需要纯文本密码的事实。 如果我们都停止接受这样的服务,那么服务提供商可能会为此做点什么,最后会贬低古代技术。
有些人可以记得,有一次当你想坐飞机去另外一个国家的时候,你会直接从路边停车场走进飞机。 没有安全的东西如此。 现在,人们意识到需要适当的安全措施,所有机场都已经到位。
我会切换到另一个电子邮件提供商。 search“安全的电子邮件提供商”产生许多结果。
评论中有一些好的观点。 可能search“安全的电子邮件提供商”将是非常有意义的,因为所有的电子邮件提供商将夸耀他们是安全的。 但是,我不能推荐一个特定的公司,这也不是一个好主意。 如果您确定某个公司首先询问有关安全性的疑问,那么这将是一件好事。
我的build议是离开,并问下一个家伙他们的政策是什么第一!
如果你感觉不错,你可以告诉老提供者为什么要离开。
另外为了解决另一个答案的说法,彩虹桌的时代已经过去了。 它们已经被高性能的GPU所取代,并占用了太多的存储空间(二进制哈希显然不能很好地压缩,而且不会将它们存储在ASCII中)。 (重新)计算GPU上的散列比从磁盘上读取更快。
根据所使用的哈希algorithm和GPU,现代密码破解计算机可以预计每秒大约1亿次到1亿次哈希。 据此(这与计算机/超级计算机能做的有点过时),这意味着任何6字符的密码都可以在几秒钟内被破解。 所有各种algorithm(MD5,SHA-1,SHA-256,SHA-512,Blowfish等)中的7和8字符散列表将消耗过多的磁盘空间(意识到需要将它们存储在SSD ,而不是一个磁盘,访问速度),你可以看到为什么使用GPU的基于字典的攻击将更快地产生密码。
对于那些进入现场的不错的文章是我如何成为 Ars Technica 的密码破解者 。
几年前,当我的托pipe服务提供商(当时也是我的电子邮件提供商)遭遇安全漏洞时,我的身份遭到了破坏。 我醒来没有能够检查我的电子邮件,因为我的密码已被重置。 随着我的电子邮件控制他们试图重置我的密码在亚马逊和贝宝。 你可以猜到接下来会发生什么,对吗? 欺诈性的信用卡收费!
幸运的是,我能够比较快速地弄清楚发生了什么,让我的托pipe服务提供商通过电话,尽pipe帐户信息和安全问题发生了变化(几个小时之内),但却刻意validation我的身份。 在这次谈话中,客户服务代表能够告诉我我的密码历史,什么时候改变了,什么时候改变了。 这就是我所需要知道的,我完全需要改变供应商。
当涉及到安全问题时,我对这家公司的彻底性抱有怀疑,这是我多年来在处理这些问题时所注意到的。 但是我总是相信自己这不是什么大不了的事,或者我错了。 我没有错,你也不是!
如果我第一次怀疑他们没有严肃对待安全问题,那么整个迷你噩梦就不会发生。 想想如果一个有价值的企业账户被破坏会发生什么? 如果他们只发送垃圾邮件,你会很容易。 我当时正在使用的这家公司也在使用这家提供商,我们已经把我们的工作重点放在了尽快完成。
相信你的直觉! 不要从懒惰中迁移,或者因为你现有的设置“正常工作”。 低端的安全漏洞,如以明文forms存储密码,不正确地configuration服务器等等,其中最令人头痛的部分是,他们在技术文化方面performance出普遍的无能和/或懒惰,这是一种文化,我不希望我的公司的任务关键服务合同在任何地方。
我可以看到一个替代的解释,你的密码实际上在你的提供者的服务器上被散列。
当提供商联系你一天后,他可能(这是一个猜测)从服务器日志拉他的密码更改脚本通过GET方法提交数据。
这听起来比你的提供者拥有数据库充满了何时,谁以及如何改变他的密码的logging更简单。 你知道奥卡姆的剃刀 …;)