Чи слід мене турбувати, якщо мій провайдер хостингу Git зберігає паролі в простому тексті?

Я знайшов коментар до Reddit, який передбачає, що ProjectLocker, безкоштовний хост Git, зберігає свої паролі у простому тексті.

Не знаю

• (а) якщо це правда
• (b) як це підтвердити або
• (c) як я повинен хвилюватися, якщо це правильно.

Чи може це означати, що комусь буде тривіально легко потрапити в одне із моїх приватних сховищ коду?

Я працюю в ProjectLocker, і я хотів би додати деяку чіткість до цієї теми. По-перше, щоб відповісти на запитання ОП:

а) Ця чутка не відповідає дійсності. ProjectLocker не зберігає паролі в простому тексті.

b) Ви не можете підтвердити це для ProjectLocker або будь-якого іншого веб-сайту без доступу до їх резервних систем.

в) я б дуже хвилювався. Однак я був би дуже здивований, виявивши, що будь-який із основних хостинг програм Subversion або Git хостинг зберігає паролі простого тексту. Це просто погана ідея.

До речі, весь доступ до Git у ProjectLocker використовує автентифікацію з відкритим ключем та відсутні паролі.

Як зазначають інші, ProjectLocker дозволяє користувачам отримувати втрачені паролі. Ми робимо це, зберігаючи паролі, зашифровані за допомогою двосторонньої функції. (Якщо ви коли-небудь встановите прапорець "Зберегти цю карту для подальшого" на веб-сайті електронної комерції, ваша кредитна картка зберігається таким чином. Те саме стосується сайтів, що підписуються, які періодично виставляють рахунок, наприклад Netflix.) Загалом, ми ставимося до паролів як до чутливих дані, наприклад кредитні картки або артефакти клієнтів (код тощо). Існує досить філософська дискусія щодо того, чи повинні веб-сайти зберігати паролі у доступному форматі, але відгуки наших користувачів вказували, що вони віддають перевагу паролів, які можна отримати.

Щодо публікації на Reddit, я можу сказати, що плакат ніколи не працював у ProjectLocker і не має фактичних знань про наші системи аутентифікації. Плакат, швидше за все, не знайомий з двосторонніми функціями і помилково плутає "оборотні" з "простим текстом".

Нарешті, якщо ви плануєте розмістити свій код у третьої сторони, і ви не довіряєте їх відповідям на подібне запитання, вам точно не слід зберігати там свій код. Якщо ви не довіряєте своєму хосту, ви не повинні використовувати їх взагалі, незалежно від того, як вони зберігають ваш пароль.

Якщо це правда, це ризик для безпеки, оскільки кожен, хто має доступ (або зможе отримати доступ через якісь засоби), зможе прочитати ваш пароль.

Ви завжди можете запитати ProjectLocker, чи коментар до Reddit правдивий. Чи вірите ви, що їх відповідь залежить від вас.

Однак я не знаю, правда це чи ні.

Один із способів перевірити, чи це правда, - зробити вигляд, що ви забули свій пароль. Якщо хост повідомляє вам ваш поточний пароль, а не скидає його та надає вам тимчасовий пароль, у вас є доказ того, що він зберігає його в простому тексті.

редагувати : коментар Джошуа правильний: це не остаточний доказ того, що вони зберігають ваш пароль у простому тексті, але це доказ того, що вони зберігають ваш пароль у зворотному форматі.

Найбезпечніше зберігати солений односторонній хеш пароля. Незрозуміло хеш вашої інформації та порівняння її із збереженим хешем, але для всіх, хто хоче переглядати хеш для отримання вашого пароля, недоцільно. Ось чому більшість сайтів надсилають вам дивний випадковий пароль, коли ви його втрачаєте: вони більше не знають, що таке ваш пароль, тому їм доведеться скинути його на те, що вони дійсно знають.

Якщо ProjectLocker зберігає ваш пароль у зворотному форматі, у вас є різні ступеня занепокоєння. Незадоволені працівники - не єдина небезпека; якщо зловмисник зможе отримати дамп бази даних і зможе визначити спосіб декодування паролів (якщо вони можуть отримати дамп БД, вони, ймовірно, можуть отримати вихідний код), у них буде багато паролів. Якщо ви використовуєте ім’я користувача та пароль, які ви більше не використовуєте для цього сайту, найгірше, що вони можуть зробити - це зіпсувати ваш обліковий запис ProjectLocker. Однак багато людей використовують одне і те ж ім’я користувача та подібні паролі для багатьох різних веб-сайтів; якщо це зробити, то зберігання пароля у зворотному форматі наражає на вас велику небезпеку.

На мою думку, якщо пароль, який ви використовуєте в ProjectLocker, не схожий на паролі, які ви використовуєте на інших сайтах, не варто надто хвилюватися. Однак варто було б озвучити скаргу на них, оскільки це набагато ймовірніше, що невеликий проміжок безпеки може призвести до того, що хтось отримає доступ до вашого облікового запису.