Ho trovato un servizio www che consente di modificare le password ma non è consentita la password alla vecchia password che ho usato prima. Questo ha qualche impatto sulla sicurezza? Voglio dire, le persone genereranno password da una lista in cui la prossima password può essere facilmente indovinata, come password1, password2, ... Penso che questo potrebbe indebolire la sicurezza se un hacker ottiene password precedenti e cerca di trovare qualche pattern dalle password.
L'impatto non è definito. La scelta di password che abbiano una sequenza riconoscibile è un problema di sicuro nei sistemi che richiedono modifiche periodiche della password e impediscono il riutilizzo della password, tuttavia non sono a conoscenza di alcuna prova che È anche un problema il sistema che semplicemente consente di modificare la password e impedire il riutilizzo della password.
Come con qualsiasi sistema, i vantaggi e gli svantaggi offrono compensazioni. Ci sono certamente degli svantaggi, come la necessità di archiviare i vecchi hash delle password che potrebbero essere potenzialmente rubati e brute-forzati insieme agli hash correnti. Ci sono anche teoricamente potenziali vantaggi nel fatto che se le password precedentemente utilizzate che sono state comprese non possono essere riutilizzate, non possono fornire a un utente malintenzionato finestre di attacco aggiuntive.
In definitiva, l'impatto di questo singolo controllo è minimo. È improbabile che possa aiutare o danneggiare la sicurezza in modo significativo e significativo. È molto più importante che gli utenti generino una password strong e unica, non la riutilizzino in tutti i sistemi e li cambino quando si sospetta un compromesso.
Direi che rafforza la sicurezza (almeno un po ').
Perché? Perché se si utilizza lo strumento "cambia password", si desidera modificare la password. "Cambiare" la password per la password che hai prima non è quindi un comportamento utile dell'applicazione.
Se controlli la nuova password solo contro l'ultima password (e non la confronti con qualsiasi password precedente), non ci sono aspetti negativi di questa soluzione.
Perché il riutilizzo del riutilizzo è sbagliato nella pratica:
Leggi altre domande sui tag passwords