🔒 «Мы храним ваши пароли в зашифрованном виде» — читал такую строку в политиках конфид...
🔒 «Мы храним ваши пароли в зашифрованном виде» — читал такую строку в политиках конфиденциальности сто раз. И каждый раз вздрагиваю: фраза успокаивающая, а на деле красный флаг. Шифрование — это сейф с ключом. Есть ключ — открыл и прочитал всё, что внутри. А раз пароль «зашифрован», где-то на сервере лежит ключ от всех паролей сразу. Утёк сейф вместе с ключом — вся база в открытом виде. Правильные сервисы пароли не хранят вообще. Они хранят хеши: пропустил пароль через мясорубку — обратно не соберёшь, а проверить можно. При входе сервис «прокручивает» введённый пароль и сравнивает с базой. Но и тут засада: быстрые хеш-функции, придуманные для проверки целостности файлов, молотят миллионы вариантов в секунду — переберут пароль по словарю за пару часов. Поэтому для паролей берут намеренно медленные алгоритмы: bcrypt или Argon2 с солью. Один хеш — примерно 0,18 секунды. Пользователь разницы не заметит, а взломщику перебор растянется с часов на годы. Разница, как пишет свежий разбор на Хабре, в семь порядков. Проверка, доступная любому: нажмите «восстановить пароль». Если сервис прислал ваш старый пароль — значит, он хранится в читаемом виде. Всё, дальше можно не читать. Недавно так поймал один сервис на горячем. А вам когда-нибудь присылали старый пароль в письме? 👇 #пароли #кибербез #безопасность