1. Ya düz metin olarak saklıyorlar (muhtemelen) ya da tersine çevrilebilir bir şifreleme kullanıyorlar. Dolayısıyla, bir güvenlik ihlali durumunda şifre risk altındadır.

2. Evet ve daha da kötüsü: Hotmail gibi bazı e-posta sağlayıcıları, etkin olmayan e-posta hesaplarını siler ve diğer kişilerin kaydolmasına izin verir o. Twitter'ın üst yönetimi eski bir Hotmail hesabını yeniden kaydederek başarılı bir şekilde saldırıya uğradı.

3. Evet, doğru. Söz konusu twitter saldırısında bu postalardan birinde ortaya çıkan yeniden kullanılan bir şifre önemli rol oynadı.

Hendrik çok sayıda sorun sağladı. Ek olarak, hizmet operatörleri postayı hatırlatma botlarının MUA'sından yerel MTA'larına göndermek için TLS ile SMTP kullansalar bile, hiçbir garantiye ve içeriğin şifrelenmiş olarak kalacağını bilmenin hiçbir yolu yoktur. MDA ve MUA'nıza giden yol. Başka bir deyişle, postayı doğru bir şekilde alsanız bile şifrenizi herhangi birine gösteriyor olabilirler.

[Bir kenara, postacı hala bu tehlikeli süreci takip eden yüksek profilli bir posta listesi yöneticisidir. Ve OWASP posta listelerinde hangi posta listesi yöneticisinin kullanıldığını tahmin edin? :-(]

Özet olarak, diğer katılımcıların belirttiği diğer tüm geçerli nedenlerden dolayı (ör. "düz metin olarak saklamak", "ele geçirme", "hesap ele geçirme ve tekrar oynatma" vb.) elbette kötü bir fikir.

Bununla birlikte, bu gibi BT güvenliğiyle ilgili sorularda neredeyse her zaman olduğu gibi, gündeme getirmek istediğim sorun, "'neye' kıyasla?" Alternatif bir yöntem ise, ele geçirilmeye karşı daha az savunmasızsa (tercihen bant dışı, ör. ". Şifrenizi şifrelenmiş bir arşive sıkıştırın, size e-posta ile gönderin ve ardından sizi sesli olarak arayarak şifreyi size dikte edin" ) yöntemi mevcutsa, o zaman açıkça kullanılmalıdır.

Peki ya böyle bir alternatif kanal yoksa veya pratikse?

Bir durum oluşturabilirim ki eğer şifre bir son kullanıcı muhtemelen "şifre" veya "123456" 'yı seçecektir; bu, karmaşık bir parolanın o kullanıcıya e-postayla gönderilmesinden çok daha savunmasızdır ve bunu yalnızca sınırlı bir süre için kullanma talimatları ve ardından eşit derecede karmaşık bir şey (veya bunu KeePass, LastPass veya Password Safe gibi bir şifre yöneticisinde saklamak ve ardından düz metin sürümünü silmek)?

Adınız "Snowden" veya "Assange" değilse, göreceli şans tüm iletişimlerinizin sürekli izleneceğini ve bu nedenle TCP / IP veri akışının yakalanma ve dolayısıyla sizi r şifre ele geçirildi - aslında çok düşük. Oysa zayıf bir şifrenin sonunda saldırıya uğrama riski oldukça yüksektir.

Yani her şey bir risk analizi durumuna bağlı. Yüksek tehdit içeren bir ortamdaysanız (örneğin, bir bankaysanız ve yüksek gelirli müşterilere hesap kimlik bilgilerini iletmeniz gerekiyorsa), o zaman, evet, ele geçirilebilecek HERHANGİ bir şifre iletişimi şekli muhtemelen uygun değildir. Öte yandan, Peoria, Ohio, Ladies 'Auxilliary Floral Arrangement Society çevrimiçi tartışma forumunu yönetiyorsanız ve üyelere "En Son Çiçek Gücü Kombinasyonlarınızı Yayınlayın" forumuna şifre korumalı erişim vermeniz gerekiyorsa, o zaman Başarılı bir parola müdahalesinin ve sonraki çevrimiçi saldırının sonuçları, muhtemelen çok daha az olacaktır ve kimlik bilgilerinin iletişiminde belki de daha yüksek bir risk seviyesi kabul edilebilir.

Evet, şifrelerin postalanması, şifrelerin çalınmasına neden olabilir. Ancak diğer yandan, iletişimin uygun şifreleme kullanılarak gerçekleşmesi koşuluyla, o siteyi unutmaları durumunda hesap sahiplerine de yardımcı olabilir.