Skulle köpa en bok idag, och eftersom boken har utgått från förlaget så fick jag köpa från en annan bokhandel än vad jag brukar göra (men av en händelse så blev det billigare också :-)

Men när jag registrerade mig så tänkte jag på en liten detalj, det stod nämligen "Har du glömt ditt lösenord? ...så mejlar vi dig ditt användarnamn och lösenord." Så praktiskt? Den lilla detaljen som gör mig upprörd är att mitt lösenord och användarnamn är tillgängligt för en illasinnad anställd på detta företag. Och jag tror att de flesta "normala" personer använder samma lösenord och användarnamn på många sidor (hur många användarnamn och lösenord klarar du av att ha i minnet?). Jag har det inte...av just en sådan här anledning. Men jag trodde att ett av de större företagen i Sverige som säljer böcker på Internet skulle hantera konto-uppgifterna mer försiktigt.

Så jag gick vidare och tittade på de andra nätbokhandlar som jag brukar köpa hos. De påstår sig kunna göra samma sak, nämligen ta fram mitt användarnamn och lösenord, och skicka det till mig.

Är det acceptabelt att spara ett lösenord i klartext, eller i ett format som gör det möjligt att få fram lösenordet? Det möjliggör ju för någon att ta reda på vad för lösenord och användarnamn jag brukar använda mig av.

Hej,

Troligtvis så sparas inte lösenordet i klartext i db, man måste ju ha en komponent som kan plocka ut lösenordet - Hur ska man annars kunna logga in?

//Henke

Ditt användarnamn och lösenord är ju en del av den information som lagras om dig. Varje företag skall väl ha ett "privacy statement" som reglerar hur de använder informationen och hur de säkerställer att ingen obehörig kommer åt den.

Om du inte litar på företaget bör du nog använda ett unikt lösenord eller användarnamn.

Håller dock med dig om att det är ett dåligt sätt att hantera problemet med att lösenord glöms bort. Vore mycket bättre om man vid registreringen kunde ange vad som skall stå i mejlet man får. Då kunde man skriva saker som "Hette hunden jag hade när jag var liten med tredje bokstaven versal".

Henke: Det vanliga sättet att lagra lösenord är att använda en envägskryptering och sen bara lagra resultatet av krypteringen. När man loggar in så krypterar man det angiva lösenordet med samma algoritm och ser om det matchar det lagrade värdet. Det blir då i princip omöjligt (beroende på krypteringsalgoritm) att få reda på vilket lösenord en användare har.

Är det ett system där man inte väljer lösenordet själv är det väl inte lika "faligt". Annars håller jag med, tycker inte lösenord ska sparas så att det finns möjlighet att få fram dem.

/Johan

Ett enligt mig bättre system är att när någon glömt lösenordet slumpa fram ett nytt "temporärt" lösenord som enbart kan användas för att ändra det riktiga.

/Johan

Men hur vanligt är det i praktiken att webbapplikationer (eller vilka applikationer som helst för den delen) använder sig av envägskryptering?

För ett tag sedan tittade jag på ASP.NET Forum, och tänkte på precis samma sak, lösenordet var sparat i klartext i databasen! (vet inte om det är ändrat nu dock)

Så är detta bara något som folk säger att de ska göra, men ingen implementerar det i praktiken? Det är ju inte direkt en komplicerad sak att implementera, och kan göras oberoende av databashanterare (om de nu skulle vara rädda för att bli bundna till en specifik databashanterare)

Jag tycker det är en intressant fråga. Hur många (företag) tänker på säkerheten när de utvecklar applikationer? Är beställaren omedveten om riskerna, och skriver därför inga specifika krav på säkerheten, och därmed uppstår brister? Eller anser de att "ett lager" av säkerhet räcker? (i det här fallet kan man väl påstå att databasen är skyddad, men om den inte skulle vara det vid ett ögonblick?)

Jag tycker att det är minst sagt skrämmande om så är fallet. Jag har bara hanterat lösenord för webbapplikationer i en kurs jag läste i skolan men såg ändå till att göra envägskryptering av lösenordet. Det tog väl på sin höjd en halvtimme.
/Per

Kan bara hålla med,

Men det jag menar är att självklart kan "företaget" ta fram ditt lösenord om dom vill, dom har ju skrivit algoritmen för krypteringen eller?

Men sen är det inte säkert att man har någon sådan funktion. Det är väl det bästa om man får ett nyskapat lösenord när man begär ett nytt.

//Henke

<b>Men det jag menar är att självklart kan "företaget" ta fram ditt lösenord om dom vill, dom har ju skrivit algoritmen för krypteringen eller?</b>

Nej, använder man en hashfunktion finns det inget känt sätt att få fram det ursprunliga lösenordet utan att testa sig fram med alla tänkbara lösenord.

/Johan