¿Las contraseñas asociadas con las cuentas en línea son visibles para el propietario o los empleados del sitio web o están cifradas y protegidas de la vista?

Si bien todavía encuentro historias de un sitio extraño aquí o allá que almacena contraseñas en texto plano (lo que escribe es lo que se almacena), por lo general, los sitios almacenan sus contraseñas en un formato criptográficamente hash. Eso significa que la contraseña en sí no se almacena, solo su hash, que es un algoritmo unidireccional. No existe una manera computacionalmente rápida o práctica de calcular la contraseña a partir del hash mismo. Tampoco hay una manera fácil de probar varias contraseñas con la esperanza de que una de ellas produzca el hash almacenado (aunque hay ataques contra los hash utilizando tablas de búsqueda, tablas de búsqueda inversa y tablas de arco iris). Tenga en cuenta que no estoy usando términos absolutos como “nada”, “período de inactividad” o “nunca”, ya que técnicamente, un adversario con recursos informáticos y tiempo ilimitados técnicamente podría encontrar la contraseña eventualmente. Los requisitos computacionales para descifrar un hash son tan prohibitivos que para la mayoría de los propósitos web, las contraseñas hash son prácticamente seguras.

Como el hash en sí mismo puede no ser suficiente (especialmente con contraseñas deficientes), para fortalecer la seguridad del hash, se agrega una “sal” (una cadena aleatoria) a la contraseña antes de hacerlo.

Cuando se registra para la cuenta, su contraseña nunca se almacena en el servidor, solo el hash. Cuando inicia sesión, el hash de su contraseña se compara con el hash en la base de datos del usuario, y si coinciden, se le otorga acceso.

La mejor práctica sería almacenarlos en hash: el cifrado es reversible, el hash no.

Hay muy pocas razones para conservar o para poder recuperar su contraseña “real”.

Si los administradores de un sitio web en particular pueden verlos, aunque depende de la implementación de ese sitio web, es bastante posible almacenarlos en texto sin formato o en cifrado reversible, simplemente no es la mejor práctica.