È sicuro inviare una password non valida al cliente?

Question

È sicuro inviare una password non valida al cliente?

#1 da (3 voti)
#2 da (1 voti)

1

È normale che i siti web ricordino il valore di input del nome utente dopo un tentativo di accesso non valido, ma non il valore di immissione della password.

Prendi SE per esempio. Quando tento di accedere con una password non valida:

Larispostacontieneilmionomeutentemanonlamiapassword:

Si tratta di una funzionalità di sicurezza o si riferisce solo alla progettazione dell'esperienza utente?

Non sono sicuro perché alcuni moduli di accesso, in particolare quelli che inviano le credenziali in modo asincrono, fanno ricordano la password.

authentication passwords network

posta User 12345678 20.06.2015 - 22:19

fonte

2 risposte

Leggi altre domande sui tag authentication passwords network

Le mie richieste DNS possono essere manipolate durante l'utilizzo di tor? Come assicurarmi che i miei dati siano al sicuro anche se qualcuno ottiene l'accesso fisico?

score 3 · Answer 1

Quando le credenziali sono errate, il server ti rimanda a una pagina contenente il nome utente compilato e forse anche la password. Questo dovrebbe essere fatto con https, e le intestazioni di cache che chiedono di non memorizzarlo, ma c'è la possibilità che la pagina di errore che è stata inviata con la password fornita nella sorgente sia memorizzata da qualche parte (cache del browser, un intermedio proxy ...).

Quando c'è un accesso asincrono, la pagina stessa non viene ricaricata e quindi questo problema non si verifica.

Con un modulo di accesso, ti viene quasi sempre richiesto di oscurare la password, poiché l'utente dovrà ridigitarlo comunque poiché è sbagliato (ed è improbabile sapere quale è stato il suo errore di battitura).

Il dibattito sull'opportunità di inserire o meno il campo della password di solito sorge quando si ha a che fare con il modulo di registrazione. In questo caso è probabile che un campo non correlato venga rifiutato (ad esempio, nome utente acquisito) e l'utente deve fornire un nuovo nome utente (che potrebbe non essere disponibile) e la password e la conferma della password. Questo rende una UI sgradevole. E lì ci sono opinioni diverse su cui dovrebbe vino.

score 1 · Answer 2

Quando si tenta un accesso e si immette la password errata, vorrei dire che non vi è alcun motivo ragionevole per mantenere la password inserita - l'utente non può vedere i caratteri, e quindi non può vedere alcun errore che possono aver fatto, né correggerlo, quindi dovrebbero ricominciare comunque.

Inoltre, è un motivo ragionevole per non archiviare password non valide per un periodo di tempo superiore al tempo necessario per capire che è sbagliato e sovrascrivere la RAM in cui è memorizzato, e questo è molto errore comune per le persone con password multiple sta inserendo correttamente una password nel sito sbagliato; Ad esempio, ho inserito la mia password della Bank of England in Stack Exchange per sbaglio o inserito la mia password di lavoro nel sito web della Bank of England.

Pertanto, poiché l'esperienza utente non è aiutata dal mantenimento di una password non funzionante, e ci sono legittimi problemi di sicurezza nel mantenerla, su un modulo di login, dovrebbe sempre essere oscurata.