Nedavno je nekoliko kompanija priznalo da čuva lozinke u formatu čistog teksta. To je isto kao da sačuvate lozinku u Notepadu i snimite je kao .txt datoteku. Lozinke bi trebalo da budu „posoljene“ i heširane radi sigurnosti, pa se postavlja pitanje zašto se to ne dešava u 2024. godini.
Zašto lozinke ne bi trebalo čuvati kao običan tekst
Kada kompanija skladišti lozinke u čistom tekstu, svako ko dođe do baze podataka lozinki – ili bilo koje druge datoteke u kojoj su one sačuvane – može ih pročitati. Ako haker dobije pristup takvoj datoteci, sve lozinke postaju vidljive.
Čuvanje lozinki u čistom tekstu je izuzetno loša praksa. Kompanije bi trebalo da „sole“ i heširaju lozinke, što znači dodavanje dodatnih podataka lozinkama i njihovo šifrovanje na način koji je nepovratan. To u praksi znači da čak i ako neko ukrade lozinke iz baze podataka, one postaju neupotrebljive. Prilikom prijave, kompanija može da proveri da li se vaša lozinka poklapa sa sačuvanom, šifrovanom verzijom, ali ne može „unatrag“ da dekriptuje lozinku iz baze podataka.
Pa zašto onda neke kompanije čuvaju lozinke u otvorenom tekstu? Nažalost, ponekad kompanije ne shvataju ozbiljnost pitanja bezbednosti ili biraju da žrtvuju bezbednost zarad pogodnosti. U nekim slučajevima, kompanija možda ispravno obrađuje lozinke, ali dodaje preterane funkcije evidentiranja (logovanja) koje beleže lozinke u običnom tekstu.
Nekoliko kompanija je nepropisno čuvalo lozinke
Možda ste već bili pogođeni lošom praksom, jer su Robinhood, Google, Facebook, GitHub, Twitter i druge kompanije čuvale lozinke u običnom tekstu.
U slučaju Google-a, kompanija je adekvatno heširala i „solila“ lozinke za većinu korisnika. Međutim, lozinke naloga za G Suite Enterprise su bile čuvane u čistom tekstu. Kompanija je objasnila da je ovo praksa koja je ostala još od kada su administratorima domena dali alatke za oporavak lozinki. Da je Google pravilno skladištio lozinke, ovo ne bi bilo moguće, jer proces resetovanja lozinke funkcioniše upravo kada su lozinke ispravno sačuvane.
Kada je i Facebook priznao da je čuvao lozinke u čistom tekstu, nisu naveli tačan uzrok problema. Međutim, problem se može zaključiti iz kasnijeg ažuriranja:
…otkrili smo dodatne zapise Instagram lozinki koji su čuvani u čitljivom formatu.
Ponekad kompanija može ispravno čuvati lozinke u početku, a zatim dodati nove funkcionalnosti koje uzrokuju probleme. Pored Facebooka, Robinhood, GitHub i Twitter su slučajno beležili (logovali) lozinke u čistom tekstu.
Evidentiranje (logovanje) je korisno za pronalaženje grešaka u aplikacijama, hardveru, pa čak i sistemskom kodu. Ali ako kompanija ne testira tu sposobnost evidentiranja temeljno, može prouzrokovati više problema nego što rešava.
U slučajevima Facebooka i Robinhooda, kada su korisnici unosili svoje korisničko ime i lozinku za prijavu, funkcija logovanja je mogla da vidi i snimi korisnička imena i lozinke onako kako su unete. Zatim je te zapise skladištila na drugom mestu. Svako ko je imao pristup tim zapisima imao je sve što je potrebno za preuzimanje naloga.
U retkim slučajevima, kompanija kao što je T-Mobile Australia može zanemariti važnost bezbednosti, ponekad zarad pogodnosti. U obrisanoj Twitter konverzaciji, predstavnik T-Mobile-a je objasnio korisniku da kompanija čuva lozinke u običnom tekstu. Čuvanje lozinki na ovaj način je omogućilo predstavnicima korisničke podrške da vide prva četiri slova lozinke u svrhu provere. Kada su drugi korisnici Twittera ukazali na to koliko je opasno…