¿Por qué los grandes sitios web -todavía- almacenan contraseñas de texto sin cifrado?

Trabajar en cualquier organización o proyecto lo suficientemente grande es como unirse a un equipo de remeros olímpicos que habían estado remando en el mismo barco sin parar durante los últimos diez años.

Saltas y comienzas a remar con todas tus fuerzas junto con tus otros, igualmente fantásticos, miembros del equipo. Remas y remas y remas. Los miembros de su equipo van y vienen, pero todos se centran en remar un poco. Te enfocas en mantener tu técnica de remo. Mide tus golpes y tu ritmo de respiración perfectamente. El timonel dirige el bote entre olas con la máxima precisión.

Entonces, un día, el bote presenta una fuga porque nadie pensó en revisar la parte inferior del bote para detectar fugas.

Cuando un sistema complejo funciona bien y lo ha estado haciendo durante un tiempo, es fácil asumir que todo está bien debajo del capó e ir a hacer otras cosas, aparentemente más importantes.

En última instancia, los sitios web almacenan las contraseñas en texto claro por la misma razón por la que la mayoría de nosotros no enviamos nuestros autos a reparar hasta que algo falla en el bloque del motor; porque siempre hay algo más que debes hacer en este momento y desarmar algo que ha estado funcionando bien simplemente nunca se te pasó por la cabeza.

También es la razón por la cual los sistemas de transferencia de datos de la mayoría de los bancos e instituciones gubernamentales se ejecutan con archivos de texto de ancho fijo, el pináculo de la tecnología de los años setenta.

En la mayoría de los casos, solo hay prioridades más altas.

Los desarrolladores generalmente se ven obligados a hacer algo “suficientemente bueno” y lo más rápido posible. En muchos casos, saben que no serán recompensados ​​por hacer cosas que están más allá de lo que se les pidió que hagan, pero se les impondrán plazos. Las revisiones de seguridad / privacidad independientes a menudo se omiten o se tratan como solo una línea de pedido para marcar antes del lanzamiento.

¿Cuál es la pérdida real para la empresa si se roban los datos del usuario?

Si alguna vez se produce una violación y se pierden los datos del usuario, a menudo hay poco o ningún efecto en las ganancias reales, la empresa no es multada ni procesada penalmente por negligencia y la mayoría de los usuarios se sienten un poco molestos y olvidan después de un corto período de tiempo. Un poco de relaciones públicas sobre los “piratas informáticos” y el nuevo “compromiso de la compañía con una mayor seguridad” generalmente solucionan cualquier preocupación persistente.

Debido a que esos sitios web aún no se hacen responsables del daño que les hace a sus usuarios su mala seguridad.

Las contraseñas nunca deben almacenarse, ni siquiera encriptarse.

Solo se deben almacenar sus hashes, creados por una función de hash de contraseña, con sal.

De esa manera, incluso si hay una violación, será imposible para los atacantes descubrir las contraseñas reales.

Cualquier sitio que almacene una contraseña de texto sin cifrar, o la contraseña misma en forma cifrada, es culpable de malversación de seguridad, probablemente bajo la dirección de algún “experto” de “usabilidad”.

Lo único seguro es almacenar un hash de la contraseña utilizando algo diseñado para tal fin, como PBKDF2. Al perder u olvidar una contraseña, ofrezca sugerencias o restablezca el enlace a través de un canal alternativo verificado.

En la forma más simple, están en texto claro porque están dirigidos por idiotas.

Lamentablemente, la respuesta es muy simple: porque siempre habrá personas así en este mundo.