我应该信任一个在我使用复杂密码时会崩溃的网站吗?

信息安全 密码 相信
2021-08-09 01:13:10

在我将密码更改为“NÌÿÖÏï£Ø¥üQ¢¨¼Ü9¨ÝIÇÅbÍm”后,网站“崩溃”了。我无法登录,客服删除了我的帐户并让我创建一个新帐户。这是否意味着网站代码存在安全漏洞?我应该担心我的凭据吗?

显然我正在使用密码管理器,而该网站只允许我在电影院预订座位,因此凭据没有多大价值。

4个回答

您的描述是该站点未能正确验证他们的输入。这(微弱地)暗示他们的代码中存在严重缺陷。如果您的输入只是阻塞了他们调用的例程PBKDF2(),那么您的密码哈希可能无法重现;但我希望一个简单的密码重置应该足以解决这个问题。删除您的帐户可能表明您的帐户记录已损坏;但是,删除帐户可能只是他们对由于意外用户输入而出现密码问题的任何人的回应。他们甚至可能试图通过这种响应来积极阻止黑客。

此外,有缺陷并不一定意味着他们的网站容易受到攻击。有缺陷的代码需要是可利用的,而您没有提供证据。此类证据可能包括不稳定的行为或莫名其妙的价值观变化。

如果您决定进一步按下,也许测试单个密码字符以隔离导致其网站锁定您帐户的字形,请知道他们有权将这些尝试视为黑客攻击。在进行试验之前,请征得网站所有者的许可。

请注意,如果您使用 16 个密码随机、未设置高位、标准、普通、可打印的 ASCII 字母数字字符来构建密码,而不是使用高位设置字符,则密码安全性的实际差异将是无关紧要的。

很可能这意味着(就像大多数美国人编写的程序一样)它从未使用 Unicode 字符进行过测试,并且您在他们的代码中暴露了一个错误。他们不是优先解决问题,因此他们只是通过告诉您不要这样做来回避问题。

奇怪的是客服删除并重新创建了您的帐户而不是重置密码,但并不令人担忧。可能是他们没有接受过应对这种情况的培训,而这正是他们采取的方法。也可能是由于某种原因,密码更改功能中也存在该错误(也许他们将使用您的密码加密的内容存储为密钥,并且他们必须对其进行解密然后使用新密码重新加密?)。

具有此类工程和测试问题的站点可能也存在一两个安全漏洞,但这是一种统计相关性,而不是观察到的错误直接暗示的东西。

密码处理应该是一个不会产生或验证多于哈希的模块。无法成功重新输入复杂密码的唯一方法是两个单独的代码应该做同样的事情但没有这样做,或者更糟糕的是,密码以纯文本形式存储。

对明文密码进行的处理或存储越多,站点就越容易受到密码提取攻击或对系统的一般攻击。

有一个关于密码处理超出其直接范围的xkcd 漫画。

当然,这也让人想起小鲍比桌

总结两个漫画:在将输入存储在任何地方之前对其进行清理,并且不要过度处理密码。

如果我的参考资料都是 Randall Munroe 的,我很抱歉,但他的解释是如此生动......

这可能是一个错误。一条经验法则是永远不要相信任何第三方网站,因为一切皆有可能。不要假设任何事情都是不可能的,但一定要使用复杂的密码,但只能使用 ASCII 字符。