Это законно, что мой пароль хранится не в зашифрованном виде?

Question

[tiqq]

Здравствуйте.
Помню несколько лет назад зарегистрировался на небезызвестном ozon.ru и получил письмо на почту с благодарностью за регистрацию и ниже прилагались мои логин и пароль в открытом виде - я тогда был в шоке, ибо вообще впервые увидел свой пароль в текстовом формате)

Полез тогда сразу менять этот пароль везде где он только использовался и ходил рассказывал знакомым что такой гигант как озон допускают такое безобразие.

Сейчас признаюсь не знаю как там обстоят дела и не хочу знать, речь сейчас о другом ресурсе.

Зарегистрировался на не менее популярном в своей нише ресурсе twirpx.com, а там такой же фокус - прислали на почту мой пароль в открытом виде.

Вопрос, собственно, какого черта?
Или я чего-то не понимаю и это нормально?
То что они отправляют пароль до того как сохранить в зашифрованном виде вряд ли вероятно, ибо маловероятно что они будут отправлять письмо с благодарностью за регистрацию до факта регистрации.

Что вообще делать в таких ситуациях с сайтами? жаловаться или что?

Я правда не думал что в 2018 году могу столкнуться с таким, за всю жизнь второй такой случай и оба раза от очень крупных ресурсов

Comments

[Станислав Б]

То что они отправляют пароль до того как сохранить в зашифрованном виде вряд ли вероятно, ибо маловероятно что они будут отправлять письмо с благодарностью за регистрацию до факта регистрации.

Это как раз очень вероятно.
Нет никаких проблем отправить письмо с паролем а сохранить его хэш.
Сейчас очень не просто найти того, кто не знает что не стоит хранить не зашифрованные пароли.

А что делать если все же переживаете? Можете не пользоваться такими сайтами. Ну или использовать пароли, которые нигде больше не используются (это не помешает делать в любом случае)

[tiqq]

Станислав Б, они отправляют письмо с логином и паролем лишь после подтверждения мною регистрации через ссылку в письме, значит прежде чем получить от меня подтверждение они сохранили мой пароль в открытом виде, раз потом мне его отправили, разве не так получается?

[АртемЪ]

tiqq, Не так.

Answer 1

[АртемЪ]

Это законно, что мой пароль хранится не в зашифрованном виде?

Во первых разумеется это законно. С чего бы вдруг это стало незаконным???
По идее они могут при желании даже публиковать его в открытом доступе- это как бы нафиг не нужно и не имеет смысла, но тем не менее абсолютно законно.

Во вторых - с чего вы взяли что ваш пароль хранится в незашифрованном виде?

Ну и в третьих - ни один нормальный веб ресурс не хранит пароли в зашифрованном виде.

Что вообще делать в таких ситуациях с сайтами? жаловаться или что?

Если вас это по каким-то причинам не устраивает, не пользоваться услугами этих ресурсов.
Так же можно пожаловаться в спортлото. Именно туда жалуются в подобных случаях.

Comments

[tiqq]

Во первых разумеется это законно. С чего бы вдруг это стало незаконным???

С того что должны же быть какие-то требования к хранению персональных данных

Во вторых - с чего вы взяли что ваш пароль хранится в незашифрованном виде?

Прочтите содержание моего вопроса, тогда поймете, почему я сделал такое предположение

Ну и в третьих - ни один нормальный веб ресурс не хранит пароли в зашифрованном виде.

Так и хочется сказать "Что ты черт побери такое несешь", но я просто спрошу откуда у Вас такие сведения?)

[Станислав Б]

tiqq,

С того что должны же быть какие-то требования к хранению персональных данных

пароль - это не персональные данные.

[NSA-bot]

tiqq,

Ну и в третьих - ни один нормальный веб ресурс не хранит пароли в зашифрованном виде.

Так и есть. Пароли вообще не хранятся не в зашифрованном ни в каком виде. Хранятся хэши паролей. Разве не так?

[tiqq]

NSA-bot, Зашифрованный пароль и хэш пароля это одно и то же. К паролю применяется хэш-функция, которая из вашего набора символов создает другой набор символов и в базу данных записывается именно созданный этой функцией набор символов, то есть тот самый хэш, а не ваш пароль. Точнее мне всегда казалось что так происходит, но как видите есть люди которые утверждают что нормальные ресурсы не хранят таким образом пароли

[Lander]

tiqq,

Зашифрованный пароль и хэш пароля это одно и то же.

Это к вопросу о компетенции...

[tiqq]

Lander, а что, собственно, не так? можете пожалуйста просветить? Можете назвать источники, где опровергается то, что я сказал? Я встречал лишь подобные определения, каким образом они противоречат сказанному мною?

[Lander]

tiqq, Я прекрасно знаю определения этих понятий. А для вас хэширование и шифрование - один и тот же процесс. Цитату, подтверждающую мои слова, я вставил выше.

[NSA-bot]

tiqq, всегда думал, что шифрование это когда можно потом обратно расшифровать, чего с хэшем я проделать не могу. Но видимо я что-то упустил :(

[tiqq]

Lander, Вы серьезно?) Вы решили придраться к тому, что я вместо слова хеширование употребил слово шифрование? Неужели это было настолько неочевидно, что именно я имел в виду, говоря о хранении паролей в зашифрованном виде?) Из контекста не было понятно, что речь о том, что они вместо хеша хранят исходный пароль? Я тут уже не знал что и думать, что ни скажу - все не то, все не так, оказывается тут просто молодежь самореализуется за счет подобных мелочей. Прекращайте, если бы Вы вежливо заметили, что употреблять слово зашифрованный не совсем корректно, это было бы по-взрослому, а то как Вы себя ведете это мягко говоря инфантильно

[Lander]

tiqq,

оказывается тут просто молодежь самореализуется за счет подобных мелочей

то как Вы себя ведете это мягко говоря инфантильно

Да. Всё так и есть.

[NSA-bot]

Я не придираюсь. Я не могу видеть, что у Вас в мозгах и не хочу догадываться. Просто читаю, что пишут и отвечаю в соответствии с этим :)

[АртемЪ]

tiqq,
1) Пароль не является персональными данными.
2) Исходя из вашего вопроса, вам просто прислали ваш пароль на почту - для этого его не нужно хранить, они получили ваш пароль, обработали регистрацию и отправили вам письмо с вашим паролем. Но хранить то его зачем? Он в памяти лежал.
3)Ни одна нормальная компания вообще не хранит пароли пользователей, ни в каком виде, в том числе и в зашифрованном! Хранятся только хэши.

[АртемЪ]

Зашифрованный пароль и хэш пароля это одно и то же

Очень сильное заблуждение.
Зашифрованная информация это информация которую можно восстановить зная алгоритм и ключ шифрования.

А хэш это просто результат математической функции.
Вот например 6ab57ea4c8312c9d6acb66cc5f687a0e хэш фильма Аватар.
Вы сможете из этой строчки воссоздать фильм Аватар? А в зашифрованном виде фильм Аватар будет иметь размер не меньше чем оригинал - 50гигабайт информации, в 32 байта вы точно не сможете уместить фильм.
То же самое и с паролем.
Хэш не содержит в себе пароля ни в каком виде, узнать пароль зная хэш невозможно.

Вот пример простейшей хэш функции - считаем количество символов в слове.
Например слово "Пример" будет иметь хэш 6
Зная хэш 6 вы сможете восстановить это слово?

Это конечно очень кривая функция хэширования имеющая множество коллизий, но тем не менее.

[АртемЪ]

Неужели это было настолько неочевидно, что именно я имел в виду, говоря о хранении паролей в зашифрованном виде?)

Обычно когда говорят шифрование имеют ввиду именно шифрование.
Ибо хэширование абсолютно другой процесс.

Если вы храните зашифрованный пароль - вы таких храните пароль.
А если вы храните только хэш пароля - вы не храните пароль.

Answer 2

[Dimonchik]

https://www.anekdot.ru/id/274750/