Quelles sont les implications de sécurité si un mot de passe est envoyé dans le champ Nom d'utilisateur?

Supposons que vous ayez une mauvaise journée et que vous soyez pressé de vous connecter à un site Web favori, puis saisissez accidentellement votre mot de passe dans la zone de texte Nom d'utilisateur. Devriez-vous être inquiet et changer votre mot de passe pour ce site Web, ou est-ce juste peur sans fondement?

Question d'aujourd'hui &La session de réponse nous est offerte par SuperUser, une subdivision de Stack Exchange, un regroupement communautaire de sites Web Q & A.

La question

SuperUser lecteur agentnega veut savoir quels sont les dangers de taper son mot de passe dans la zone de texte de nom d'utilisateur et l'envoyer accidentellement pourrait être:

Disons que j'ai tapé mon mot de passe dans la zone de texte d'un site fréquemment visité( httpsbien sûr ) et appuyez sur Entrée avant de remarquer ce que je faisais.

Est-ce que mon mot de passe est maintenant assis en texte clair dans un fichier journal quelque part? Comment mon erreur pourrait-elle être exploitée par un méchant rusé?Aidez-moi à comprendre les conséquences réelles sur la sécurité, peu importe la probabilité que cela se produise réellement.

Serait-ce vraiment quelque chose qui vous inquiète, ou pourriez-vous considérer cela comme une simple erreur et l'oublier?

La réponse

SuperUser contributeurs Nikolay et GregD ont la réponse pour nous. Tout d'abord, Nikolay:

Cela dépend de la configuration du système d'authentification pour le site web. S'il a été configuré pour enregistrer toutes les tentatives, alors oui, il est maintenant dans le journal( fichier texte ou base de données ) en texte brut. Cela pourrait ressembler à ceci:

12-Feb-2014 12:00:00 AM: tentative de connexion infructueuse( YOUR_PASSSORD_HERE) depuis( YOUR_IP_HERE);

ou similaire.

Il est toujours vrai qu'un mot de passe ne sera pas accessible aux utilisateurs réguliers, seulement pour ceux qui ont accès aux fichiers journaux.

Quelles conséquences cela implique-t-il?

• Si le serveur a été compromis, alors théoriquement, le pirate aurait votre mot de passe en texte clair.
• L'administrateur du site Web peut régulièrement parcourir les fichiers journaux et trouver accidentellement votre mot de passe. Il peut ensuite trouver l'adresse IP de cet enregistrement, et donc il peut théoriquement savoir ce que sont votre nom d'utilisateur et votre adresse e-mail( parce qu'il a accès à la base de données).

Donc, si vous utilisez le même mot de passe /username/ sur d'autres sites Web, changez-le immédiatement. Parce qu'il y a toujours une chance que votre mot de passe soit découvert. Les journaux peuvent rester sur les serveurs pendant des années.

Suivi de la réponse de GregD:

Comme vous l'avez dit, les applications Web ont tendance à conserver les journaux des tentatives infructueuses de connexion. Si quelqu'un devait regarder à travers les journaux, il pourrait connecter cette tentative de connexion particulière avec l'une de vos tentatives réussies( , c'est-à-dire via l'adresse IP ).

Bien que je ne pense pas que cela puisse arriver, vous pouvez toujours le changer.

Avec le barrage constant des violations de données que nous lisons et entendons parler de ces jours, il serait préférable de changer le mot de passe pour le site en question( et tous les autres avec le même mot de passe ) pour la tranquillité d'esprit. Il vaut mieux être prudent que désolé quand il s'agit de la sécurité de vos comptes en ligne!

Avoir quelque chose à ajouter à l'explication? Sonnez dans les commentaires. Vous voulez lire plus de réponses d'autres utilisateurs de Stack Exchange? Découvrez le fil de discussion complet ici.