我通過電子郵件發送了我的密碼，想確認這是不安全的

Question

我最近忘記了我的網站密碼，並通過了解決此問題的支持流程。他們用純文本將我的原始密碼發送給我。

我向他們發送了一封嚴厲的電子郵件，指出該電子郵件不是安全傳輸協議，並且通過向我發送我的密碼的明文版本，他們表示他們沒有存儲我的密碼的散列版本。我繼續說任何有權訪問他們的數據庫或者竊取他們的系統的人都可以訪問這些密碼。

這些斷言是否正確？

Answer 1

是的，你的斷言是正確的。

雖然我們無法確定它們是否以明文格式存儲密碼，但顯然它以無損形式存儲，並且它們（可能是攻擊者）可能會計算出明文密碼。

無論如何，這是安全性差。

用戶可以採取的一種方法來減輕這種風險，即爲每個站點分配一個唯一的隨機密碼。有很多軟件工具可以讓你管理這些密碼。

Answer 2

如果這是你的原始密碼，那麼它可能是不安全的。他們可能會加密它，但這不太可能。即使他們是，加密密碼只比以純文本保存它們好一點。