Sto testando un'applicazione web in cui, in caso di una risposta di tentativo di login non corretta, sono stati inviati login e password precedenti (uno errato). Questi valori sono nell'attributo value , come in questo esempio:
<input class="form-control" data-val="true" data-val-required="Password required." id="Password" name="Password" type="password" value="qwerty" />
È un comportamento corretto, ci sono raccomandazioni riguardo a questo problema?
Le password errate sono quasi altrettanto sensibili di quelle corrette - pensa solo a tutte le volte che non sei riuscito ad accedere perché Caps Lock era attivo ... O tutte le volte che hai inserito una password che usi per un altro sito per errore.
Ma è davvero un modo pericoloso di gestire le password, errate o no?
Consideriamo prima la sicurezza in transito. Qui invii già le password in una direzione. Anche rimandarli indietro non peggiorerà le cose. Quindi o usi il buon TLS e tutto va bene, o non lo fai e poi questo non rende le cose peggiori di quello che già sono.
Il prossimo problema è la sicurezza sul client. Ciò di cui mi preoccuperei qui sono due cose:
Infine, sul lato server una parte più grande dell'applicazione deve gestire la password a causa di ciò. Questo non deve essere un problema, ma in generale, più usi le password, più è facile perderle casualmente per registrare file o qualcosa del genere.
Quindi, in conclusione, direi che questa non è una buona pratica. Soddisfa il bisogno non legittimo. Ma anche gli effetti non sono catastrofici, quindi non ne sarei preoccupato. Questo è un caso di piccolo costo, nessun vantaggio.
Leggi altre domande sui tag authentication