Ho sempre capito che i server non memorizzano le password degli utenti. Al contrario, memorizzano hash di password e quindi convalidano l'input dell'utente applicando la funzione hash, quindi confrontano il risultato dell'hash con il valore dell'hash memorizzato localmente sul server. Senza ricevere una password e quindi applicare questa operazione di hash e confronto, un utente non ottiene l'accesso.
Se questo è il caso, come possono essere rubate migliaia di password di account Yahoo, come riportato di recente?
Se questo non è il caso (per quanto riguarda il modo in cui l'autenticazione della password di Yahoo è stata eseguita), allora come è fatto? Mantengono davvero le password effettive a portata di mano? È questa pratica comune?