Безопасна ли опция "Показать пароль" в форме входа в систему?
Веб-сайт, которым я иногда пользуюсь, недавно прошел капитальный ремонт и добавил флажок "Показывать" рядом с полем пароля в форме входа. Я понимаю, почему некоторые пользователи хотят этого, когда они на самом деле вводят свой пароль, но это похоже на дыру в безопасности, если вы используете менеджер паролей, который заполняет ваш пароль.
В моем случае пароль сохраняется в диспетчере паролей Firefox, который, в свою очередь, защищен мастер-паролем **. Так что, да, кто-то другой использует Firefox на моем компьютере временно потенциально может автоматически входить на этот сайт, но я, по крайней мере, ожидаю, что они не смогут увидеть мой текущий пароль.
Однако с этим новым флажком они могут: Я зашел на сайт, зашел в форму входа, которую Firefox предварительно заполнил моим паролем (запутанным в виде ряда точек). Затем я нажал "Показать", и, конечно же, мой пароль был отображен в виде обычного текста.
Наконец, если это проблема безопасности, каков краткий способ изложить проблема с веб-администратором сайта? Я сам не веб-дизайнер/администратор.
** Ради этой темы давайте не будем вдаваться в большую дискуссию о том, является ли менеджер паролей Firefox безопасным способом защиты паролей. Я использую его только на своих домашних и рабочих компьютерах, которые редко используются другими. Кроме того, даже если вы считаете, что мне следует использовать более надежный менеджер, такой как LastPass, я думаю, что подобная уязвимость будет существовать, если кто-то сядет за ваш компьютер, пока LastPass регистрируется в.
3 answers
При снятии маски с поля пароля как такового не возникает внутренней проблемы безопасности. В функциональной работе сайта любой метод, который может получить доступ к полям формы (таким как сообщения на стороне сервера или javascript), все равно сможет получить доступ к данным из замаскированного поля без каких-либо усилий вообще. Маскировка пароля выполняет две функции. Во-первых, это мешает кому-то просто заглянуть через плечо пользователя, чтобы узнать, какой у него пароль, а также является своего рода театром безопасности, заставляя пользователя чувствовать, что его пароль защищен, независимо от того, является ли он особенно безопасным.
Наличие флажка, который позволит вам снять маску с пароля, не является особой проблемой безопасности, поскольку это позволит конечному пользователю решить, хотят ли они видеть введенный пароль, и принять решение о том, находятся ли они в ситуации, когда они чувствуют, что безопасно видеть пароль на странице или нет.
Безопасность самого пароля более зависит от того, как пользователь хранит пароль (например, нигде не записанный), и если соединение между браузером и сервером защищено (HTTPS), тип поля, используемого пользователем для ввода пароля.
Помимо очевидной проблемы безопасности, связанной с тем, что кто-то другой может физически видеть, какой пароль вы вводите, - о чем пользователь все равно будет знать, - существует несколько "проблем" безопасности, которые могут возникнуть в связи с тем, как он реализован и какое (заслуживающее доверия) программное обеспечение находится в системе пользователей, что потенциально может без необходимости предоставлять пароль сторонним приложениям/инструментам.
Если опция "показать пароль" просто изменяет type элемента ввода на text, то любой плагины браузера (или сторонние приложения), которые проверяют правописание текстовых полей, теперь будут активны в элементе. В Google Chrome это может включать отправку текста в Google, чтобы "Запросить у Google предложения".
У меня также установлено стороннее приложение-словарь, которое будет искать текст под курсором мыши. Это не работает с полями password, но работает с полями text.
Текстовые поля также можно копировать (потенциально сторонним приложением), поля пароля - нет.
Вход в систему формы в любом случае не должны быть autocomplete включены, но изменение type ввода на text потенциально позволяет сохранить пароль в базе данных автозаполнения браузера (что не обязательно безопасно), если только ввод не изменен обратно на password до представления.
Альтернативой изменению type поля password является "показать пароль" в элементе без формы. Это может быть "безопаснее".
В общем... это должно быть безопасно, но я думаю, что там являются потенциальными рисками, о которых конечный пользователь может не знать. Но именно конечный пользователь должен сделать выбор в пользу "показать пароль".
Если мы игнорируем все остальное, что вы упомянули (например, общий компьютер, сохраненные пароли firefox и т.д.), функция "показывать" пароль сама по себе не представляет угрозы безопасности. Это для удобства и "повседневного пользователя". Ничто не мешает кому-то использовать встроенный инспектор браузера и изменить его на тип ввода textbox с password. Он служит той же цели (показывает пароль), но без необходимости "изменять" HTML. Я делаю это все время на сайтах, где этого нет "особенность". Текстовое поле типа password только маскирует буквы в пользовательском интерфейсе.