对！如果他们能够从数据库中检索密码，那么他们显然没有遵循密码存储最佳实践。OWASP 提供了如何正确执行此操作的良好指南：

• https://www.owasp.org/index.php/Password_Storage_Cheat_Sheet

这是你可以在这封信中使用的一些弹药：

• 您希望我（我孩子的法定监护人）签署一份表格。
• 您正在使用登录网站并单击按钮作为合法签名形式的操作。
• 你怎么知道实际上是我登录并点击了按钮？
• 有多少人在发送给我的途中可以使用用户名和密码访问工作表？您如何证明登录并单击按钮的确实是我？
• 很明显，密码以这样一种方式存储在数据库中，以便学校董事会工作人员可以检索到。您如何证明登录并单击按钮的确实是我？
• 如果出现问题，我非常怀疑“签名”是否会在法庭上成立，这意味着表格不会在法庭上成立。这似乎是学校董事会和/或我的责任问题（取决于表格中的内容）。
• 我可以从学校董事会的法律团队那里得到一份声明，这样可以吗？

注意：由于问题已更新以指定学生未使用相关密码，并且不是随机初始密码，因此该答案的其余部分并不真正适用。我同意其他答案，即父密码应该使用标准的加盐迭代哈希技术存储。学区在实施该计划时将面临的障碍远少于学生密码的障碍。

根据 K-12 信息技术内部的经验，我可以告诉你情况可能比你想象的还要糟糕。

在您开始推动变革之前，请注意您正在与一个庞大的系统作斗争，而不是一个单一的学校或地区。有一些亮点，基本上是标准安全智慧不适用的领域。一半的供应商没有听说过任何现代密码存储选项或联合身份验证。许多学生太年轻，无法处理具有大量熵的密码。

最重要的是，学校比任何锡锅独裁政权都更喧嚣。管理员希望能够在他们认为可能有问题的任何时候进入学生帐户。在具有各种过时身份验证方案的所有服务中，唯一的方法是知道密码。

如果您发现自己向实际需要回答您的问题的人投诉，让我提出一些建议：

1. 有多少学校员工有权查看学生密码？
2. 是否有任何记录显示学生密码被查看的频率，以及被哪些工作人员查看？
3. 是否有记录显示哪些工作人员使用学生密码登录了哪些学生帐户，以及他们访问了哪些服务？
4. 学区内有多少个不同的数据库包含（未加密、未散列的）学生密码的副本？
5. 学生密码是否曾经主动更改（在到期时间之后或由学生主动更改）还是在没有报告违规的情况下永远保持不变？
6. 有没有对任何东西...进行过渗透测试？
7. 有多少第三方（例如在线教科书出版商）获得了完整的学生密码列表和/或对包含密码的数据库的完全远程访问权限？
8. 在考虑购买涉及学生登录的新产品或服务时，信息安全实践是否曾经是决定的一个因素？

不要期待好的答案。期待糟糕的答案，并提前计划下一步行动。

不要期望 HIPAA 和 FERPA 会让他们感到惊讶。他们听说过这些，他们的律师可能已经告诉他们他们所做的一切都很好。

这是您输入的密码，还是您在首次登录时必须更改的随机生成的初始密码？

在第一种情况下，这是绝对糟糕的安全实践的标志，几乎可以想象到所有危险信号。这是一个巨大的安全漏洞，需要立即解决。此外，您现在应该在您使用它的任何其他地方更改此密码（老实说，我们都重复使用密码）。

这也需要引起学校信息安全负责人的注意。还是原理。基本上，如果发生违规行为并成为全国性新闻，则其职业生涯将处于危险之中。

在第二种情况下，这是 SOP，没什么可看的，继续前进。