如果出现“忘记密码？” 页面通过电子邮件发送您的旧密码，这是他们以纯文本形式存储的明确证据吗？

Question

当网站通过电子邮件发送您的旧密码时，而不是要求您在网站上重置密码，我想知道这对他们的安全措施意味着什么。

这是否意味着他们为了自己的方便而以纯文本形式存储密码，或者他们仍然可以对密码使用加密？

Answer 1

当密码存储在数据库中时，他们可能会使用加密，但他们根本不应该以可检索的格式存储它，加密或其他方式。

他们应该对密码进行单向哈希（加上salt）。这意味着他们可以检查您现在输入的密码是否与您之前提供的密码匹配，但他们（或某些可以访问其数据库的破解者）无法找出它是什么。加密密码意味着破解者必须找到数据库和加密密钥，但由于密钥必须在为网站提供服务的服务器上，这几乎是不可想象的。

因此，如果他们可以将您的密码发送给您，则意味着他们没有遵循众所周知的安全最佳实践。

像这样的不良做法是为您在 上注册的每个网站使用不同密码的一个很好的理由。

Answer 2

即使它是加密和安全的，该电子邮件也绝不安全。

您确实知道一件事，通过使用电子邮件，您的密码现在几乎
可以肯定以纯文本形式存储在许多其他位置：

• 在他们的邮件服务器上
• 在您的电子邮件提供商的服务器上
• 在您计算机的浏览器或电子邮件存储目录中
• 在任何可能一直在“倾听”的人的硬盘驱动器/日志上
• ...并且很可能在您和该站点之间的任何Internet 跃点上。