Va bene per il software memorizzare le password localmente in testo semplice?

Risposta breve, non è mai consentito archiviare password in chiaro e farlo è una cattiva pratica. Dalla tua descrizione, vi è un rischio limitato associato all'organizzazione che supporta l'app perché non vi è alcuna conformità o rischi monetari diretti collegati. Questo rischio viene trasferito agli utenti. È possibile che gli utenti di questo software abbiano perso la password. Ciò comporta rischi per l'organizzazione in cattive pubbliche relazioni se esce. Questo potrebbe essere usato per giustificare il costo di fissarlo.

Gli utenti di qualsiasi software si aspettano che il software stia prendendo precauzioni adeguate con le loro password. La maggior parte degli utenti non penserà molto al salvataggio delle proprie password. Presumono che siano stati salvati in modo sicuro, il software non li avviserà che è in testo normale e che la maggior parte degli utenti riutilizza le password. Sì, è una cattiva pratica da parte loro, ma salvarla in solo testo peggiora le cose. L'argomento di "sheeple merita di essere hackerato" è sbagliato. C'è un motivo per cui i router wireless di casa ora impostano automaticamente la loro massima sicurezza. Ciò è stato fatto per proteggere le persone che non sanno come accenderlo. Nessuno è esperto in tutto e non tutti capiranno le basi della sicurezza. Parte del nostro ruolo di professionisti della sicurezza significa stare attenti alle persone che non sanno abbastanza per proteggersi.

Penso che tu abbia una dura battaglia per sistemare questo problema. Chiamerei le password di salvataggio in testo normale come una violazione della fiducia dell'utente. C'è il rischio che ho menzionato sopra. Tuttavia, con l'attitudine che hai già visto, probabilmente ci riporteranno e continuerai a respingere quella cultura potrebbe non valerne la pena. Anche se penso che sia la cosa giusta da fare. So che questo mi ha reso impopolare quando le promozioni / i rilanci si sono verificati nei precedenti lavori, ma l'ho fatto lo stesso. Gli utenti si aspettano che tu prenda le precauzioni con le loro password. Se viene fuori che non lo fai, potresti non riaverlo.

Personalmente non sarei d'accordo con la memorizzazione delle password in chiaro, SEMPRE male, perché dipende dall'applicazione o dallo scopo della password che viene memorizzata. In generale, sì, archiviare le password in testo semplice è una scelta di scarsa sicurezza per tutte le ovvie ragioni. Tuttavia, ciò non significa che sia una scelta super-cattiva in tutte le circostanze.

Se la password non viene trasmessa apertamente, (su Internet o anche sulla rete locale), viene archiviata all'interno dei file di programma localmente per l'autenticazione, e non c'è nulla che valga la pena proteggere, a chi importa se memorizzi la password in testo normale? È come proteggere con password il tuo accesso a notepad.exe. L'UNICO rischio è che l'utente finale selezionerà un nome utente e una password che utilizzano per altre applicazioni esistenti a rischio più elevato. Se queste informazioni vengono compromesse senza colpa tua, è possibile che i tuoi utenti finali siano esposti a qualche danno.

Diamine, ci sono anche alcune applicazioni, (magari insegnando a qualcuno come craccare le applicazioni scritte male! = D), dove potresti deliberatamente scegliere di memorizzare le password in testo semplice.

Il rischio è incredibilmente minore e potrebbe non valere la pena di preoccuparsene. Non come se stessimo memorizzando le password per l'accesso ai codici di lancio di un arsenale nucleare di una nazione qui. Ma c'è QUALCUN rischio, anche se è piccolo, e prendere semplici misure per proteggere i tuoi utenti è solo una bella cosa da fare.

L'intero " unique and random " ha un duplice scopo in questo mondo imperfetto, in cui non ci si può fidare dei siti Web per fare la cosa giusta o avere buone intenzioni.

Il sito Web potrebbe vendere le combinazioni di password nome utente ai cracker per la ricerca e l'incorporazione in attacchi di dizionario avanzati. Aka che fa del male intenzionale. Fornisci un gioco gratuito, richiedi la registrazione, vedi quanti manichini usano le stesse credenziali dei loro account Facebook o Google.

Quindi ovviamente ci sono solo i manichini che non sanno nulla di sicurezza e li memorizzano in testo semplice.

In ogni caso è negativo e tu, come utente, dovresti assumere che il sito web non è affidabile e utilizzare una password univoca e casuale.

E se sei uno sviluppatore che sta facendo uno stupido gioco su Internet, considera che i tuoi utenti potrebbero benissimo non conoscere le buone pratiche di sicurezza e finire per usare le stesse credenziali per il tuo gioco come per il loro conto in banca, e se il tuo gioco su internet viene violato e la tabella delle password rubata, quindi potresti aver fatto danni involontari ai tuoi clienti.

Quindi sì, dico che è sempre importante prendere sul serio la sicurezza se sei uno sviluppatore o un utente. E se prendi sul serio la sicurezza, allora non è mai ok per memorizzare le password in chiaro, né è accettabile non saltarle o altre cattive pratiche antiquate.

Nel tuo caso particolare, vorrai codificare le password in base a qualcosa che solo l'utente del tuo software conosce piuttosto che eseguirne l'hashing, perché sembra che l'applicazione sia simile a un gestore di password . Ci sono librerie là fuori che rendono facile a seconda della tecnologia che stai usando. .NET?