我注册的几个网站在我一段时间不活动后，每个网站都给我发了一封电子邮件，提醒我我还在注册。在每种情况下，该电子邮件都包含我的密码。
这是一个坏主意吗？
我的想法是，是的，是的，因为：
他们要么将其存储为纯文本（可能），要么使用可逆加密。因此，万一发生泄露，密码就有风险。
是的，而且更糟糕的是：某些电子邮件提供商（例如 Hotmail）会删除不活动的电子邮件帐户并允许其他人注册。Twitter的高层通过重新注册一个旧的Hotmail帐户成功攻击。
是，对的。其中一封邮件中披露的重用密码在上述推特攻击中发挥了重要作用。
Hendrik 提供了很多问题。此外，即使服务运营商使用 SMTP 和 TLS 将邮件从提醒机器人的 MUA 提交到本地 MTA，他们也无法保证也无法知道内容是否一直加密到您的 MDA 和 MUA . 换句话说：即使您正确收到邮件，他们也可能向任何人显示您的密码。
[顺便说一句，邮递员是一个高调的邮件列表管理员，仍然遵循这个危险的过程。猜猜 OWASP 邮件列表中使用的是什么邮件列表管理器？:-(]
概括地说，这当然是一个坏主意，因为其他受访者已经陈述了所有其他正当理由（例如“以明文形式存储”、“拦截”、“帐户劫持和重放”等）。
然而，我想提出的问题——就像这样的 IT 安全相关问题几乎总是如此——是“与‘什么’相比？” 如果有更不容易被拦截的替代方法（最好是带外的，例如“.zip 将您的密码压缩到加密存档中，通过电子邮件发送给您，然后通过语音呼叫您并口述密码给您” ) 方法可用，那么显然应该使用该方法。
但是，如果没有这样的替代渠道可用，或者不可行怎么办？
我可以举个例子，如果最终用户可能选择的密码是“密码”或“123456”，这本质上比通过电子邮件发送给该用户的复杂密码更容易受到攻击，并附有使用说明仅在有限的时间内将其更改为同样复杂的内容（或将其存储在 KeePass、LastPass 或 Password Safe 等密码管理器中，然后删除明文版本）？
除非您的名字是“Snowden”或“Assange”，否则您的所有通信都将被持续监控的相对机会——因此你有可能被拦截 TCP/IP 数据流并因此被拦截你的密码——是实际上很低。然而，弱密码最终被黑客入侵的风险非常高。
所以这一切都归结为风险分析的情况。如果您处于高威胁环境中（例如您是一家银行，并且您需要将帐户凭据传达给高收入客户），那么，是的，任何可以被拦截的密码通信形式都可能不合适。另一方面，如果您正在运行俄亥俄州皮奥里亚女士辅助插花协会在线讨论论坛，并且您需要为会员提供受密码保护的“发布您最新的花卉组合”论坛的访问权限，那么成功的密码拦截和随后的在线攻击的后果可能要小得多，并且可能会接受传递凭据的更大风险。
是的，邮寄密码可能会导致盗窃。但另一方面，如果帐户所有者忘记了该站点，它也可能对帐户所有者有所帮助，前提是使用适当的加密进行通信。