Verschlüsseln eines Passworts mit einem eigenen Hash

Question

Ich habe gerade herausgefunden, dass eine E-Commerce-Plattform (ähnlich wie Shopify), die ich verwenden wollte, es mir ermöglicht, mein Passwort anzuzeigen. Ich weiß, dass ich nichts annehmen kann und ich sollte (wahrscheinlich) einfach davonlaufen, aber es hat mich neugierig gemacht: Gibt es eine Möglichkeit, es sicher zu machen?

Ich meine, was ist, wenn sie den Passwort-Hash als Verschlüsselungsschlüssel verwenden, um das Passwort selbst zu verschlüsseln? Könnte so etwas eine vernünftige Lösung sein, wenn es richtig gemacht wird?

Hat jemand eine Idee, warum sich eine E-Commerce-Plattform dafür entscheiden würde?

Und nein, ich habe nicht vor, so etwas umzusetzen.

Answer 1

Wenn ich das richtig verstehe, klingt es so, als hätten Sie sich angemeldet, dann zur Seite zum Ändern des Kennworts navigiert, die Site hat das Eingabefeld für deaktiviertes Kennwort mit Ihrem vorhandenen Kennwort gefüllt und Sie konnten Ihr vorhandenes Kennwort aus dieser deaktivierten Kennworteingabe wiederherstellen Box. Wenn dies der Fall ist, speichert die Site Ihr Klartextkennwort - entweder ab dem Zeitpunkt Ihrer Anmeldung oder dauerhaft in der Benutzerdatenbank. In jedem Fall ist es schlecht.

In Bezug auf die Verwendung eines Hash des Passworts als Schlüssel zum Verschlüsseln des Passworts - siehe https://crypto.stackexchange.com/questions/51820/is-it-safe-to-use-the-hash-of-the-data-as-the-key-to-encrypt-themfür einige interessante Gedanken zu dieser Methode. Trotzdem denke ich nicht, dass dies hier im Spiel ist, da es nur zu einem zyklischen Problem wird - die Site wäre nicht in der Lage, das Eingabefeld für deaktivierte Passwörter mit dem auf diese Weise verschlüsselten Passwort zu füllen, ohne das Passwort zu kennen.

Answer 2

Wird diese Funktion hier angefordert (und hinzugefügt)?

Fügen Sie dem Kennwortfeld das Kontrollkästchen "Kennwort anzeigen" hinzu

Damit können Benutzer das gerade eingegebene Passwort sehen, um sicherzustellen, dass keine Tippfehler darin enthalten sind. Das ist nur eine Alternative, um sie dazu zu bringen, es zweimal zu tippen. Einmal bestätigt, ist es gehasht (oder sollte es zumindest sein, aber ich kenne die Plattform nicht wirklich).