Почему пароли в виде простого текста - это плохо и как мне убедить своего начальника, что его любимые веб-сайты находятся под угрозой?

В армии это называется «Глубокая защита». Теория заключается в том, что вы укрепляете каждый слой, который можете, а не только один слой, надеясь, что этого достаточно.

Я слышал такие базы данных, как ваша, которые называются «твердыми снаружи, мягкими и жевательными внутри». Есть миллион способов, которыми преданный хакер может получить доступ к вашей базе данных. Социальная инженерия, недовольный сотрудник, бывший сотрудник, который решает проверить, работает ли его логин, или тот бэкдор, который он написал, все еще там, один пропущенный патч ОС ... список можно продолжить.

Если злоумышленник получает доступ с помощью любого из этих методов, вместо того, чтобы просто получать данные, он получает доступ к каждой комбинации имени пользователя и пароля каждого пользователя вашей системы, и, как кто-то заметил, люди часто используют одну и ту же комбинацию для каждого веб-сайта. . Итак, ваш хакер владеет счетами в Paypal, электронной почте и в банках сотен людей.

Я уже нарисовал достаточно ужасную картину?

Скажите ему, чтобы он подумал, что во многих компаниях проблемы с безопасностью возникают изнутри, а не извне.

Теперь спросите его, как он собирается объяснять своим клиентам, как хакеры украли их пароли (которые, без сомнения, они использовали где-то еще) в следующий раз, когда ему по какой-то причине придется кого-то уволить.

Также спросите его, насколько, по его мнению, его клиенты хотели бы знать, чтобы их пароли были видны всем, у кого есть доступ для чтения к базе данных.

Вот несколько причин:

• Кто-то может взломать ваш сайт. Это может быть маловероятно, и это, вероятно, не повлияет на вашего босса (сейчас я слышу разговор: «Вы говорите, что сайт небезопасен?»). Но это случается, и помните, никто никогда не думает, что их сайт честно будет взломан на ...
• Случайный просмотр базы данных инсайдерами (такими, как вы): возможно, вы не ПЫТАЕТЕСЬ смотреть чьи-либо пароли, но в ходе обычной работы вам может потребоваться просмотреть таблицу, содержащую пароли. Учитывая, что многие люди используют один и тот же пароль абсолютно для всего (включая, возможно, вашего начальника!), Вы бы не хотели, чтобы все эти пароли были раскрыты. Спросите своего начальника, использовал ли он когда-нибудь пароль на двух разных сайтах.
• Если кто-нибудь когда-нибудь узнает, что ваше приложение не шифрует пароли, он может серьезно усомниться в доверии к вашему приложению.
• Хеширование пароля (желательно с добавлением соли) в базу данных практически ничего не стоит, так почему бы и нет?

Вы можете указать, что отсутствие надлежащей защиты учетных записей может подвергнуть компанию юридической ответственности, если информация когда-либо будет скомпрометирована. Игнорирование известной уязвимости может стоить вам судебных издержек, если данные пользователя были раскрыты в результате действий вашей компании (или бездействия, в зависимости от обстоятельств).

В Соединенных Штатах есть определенные типы данных, такие как финансовая и медицинская информация, которые компании по закону обязаны хранить в безопасности и конфиденциальности. Невыполнение этого требования может иметь серьезные последствия. Я не знаком с законами других стран в этом отношении, но это стоит изучить, если ваша компания имеет дело с такими данными.

Помимо рисков безопасности, мне интересно, что бы сказали ваши клиенты, если бы узнали, что у каждого сотрудника вашей компании есть доступ к паролям. Что касается возможных утечек, пароли подвергаются риску, если:

• база данных поддерживается внешней компанией
• операционная система, на которой работает программное обеспечение db, имеет какие-либо риски безопасности
• недостатки безопасности в любом другом аппаратном или программном брандмауэре
• любые пользователи, имеющие доступ к базе данных, каким-то образом получают вирус, который может использовать данные
• БД находится на украденном компьютере или ноутбуке
• недовольный сотрудник уволен и решает «вернуться»

Время от времени вы будете слышать о компаниях, которые хранят конфиденциальную информацию в виде простого текста, и это никогда не заканчивается хорошо. мы все люди и склонны к ошибкам, нельзя допускать совершенства, когда дело касается безопасности. вы не найдете ни одной крупной прибыльной компании, оставляющей место для любого риска, которого можно избежать, поскольку все плохое, что может случиться, обязательно случится ...

Если «вручить вашим взломщикам список паролей на блюдечке с голубой каемочкой» - не достаточно веская причина, то что можно считать достаточно веской?

Слишком много случаев кражи баз данных с паролями в виде простого текста: Если это может случиться с Reddit, может случиться и с вами.

Открытые пароли не разрешены, если ваша организация поддерживает соответствие PCI-DSS (например, продавец, который принимает кредитные карты). См. Пункт 8.4 стандарта PCI DSS.

Открытые пароли не разрешены, если ваша организация является финансовым учреждением, застрахованным FDIC (см. FDIC FIL 69 2001).

Пароли должны быть зашифрованы как при передаче, так и при хранении, если вы хотите получить сертификат ISO / IEC 27001, например. если вы работаете с определенными государственными органами.

Я видел два хороших ответа на этот вопрос:

1. Вы защищаете пароли от слежки за сотрудниками, то есть люди, имеющие законный доступ к базе данных, не смогут легко украсть пароль, если они захотят,

2. Недостаток логики приложения, такой как SQL-инъекция во внешнем интерфейсе веб-сайта, будет иметь меньше шансов привести к компрометации.

На мой взгляд, неплохо было бы зашифровать пароль базы данных (хотя мне еще не удалось это сделать для большинства моих приложений), но гораздо важнее убедиться, что ваш сервер базы данных максимально надежен в отношении сеть и авторизованный доступ. Если злоумышленник сможет проникнуть в вашу базу данных, то не имеет значения, как вы храните свои пароли, он сможет их взломать.