公司给我发了一封带有明文密码的注册电子邮件。

Question

我最近注册了一家公司的产品，并迅速收到一封电子邮件，确认我的注册，显示我的电子邮件地址和密码。我不是安全专家，但这对我来说是个巨大的危险信号。执行了一些谷歌搜索，我认为发送密码作为明文没有任何好处。这包括之前security.stackexchange.com发布的一个类似的问题，但是它是几年前被问到的，所以我不知道安全性是否发生了变化。

我正要给他们发一封电子邮件，差点骂他们，问他们为什么要发电子邮件密码，但我记得看到邮件是TLS加密的。所以我在gmail中检查了一下电子邮件，果然，TLS是加密的。

读到特易购的黑客攻击，我知道公司知道密码是什么这一事实仍然存在问题。根据我所读到的，密码应该加盐和散列，公司永远不应该知道密码是什么。

在我发这封邮件之前，我是对的吗？在某个时间点上，公司会知道密码，安全地将密码发送到电子邮件地址，并对密码进行盐分/散列，这一点一点也不明智吗？还是他们值得我发这封邮件？

Answer 1

没有理由用纯文本发送密码。输入密码后，应使用具有强salt的适当密码散列函数进行安全散列，并应丢弃明文。

电子邮件被TLS加密的事实与此无关。使用适当的密码散列技术的主要目的是防止帐户被泄露。发送明文密码意味着，任何收到该邮件副本的人都可以在没有进一步注意的情况下对该帐户进行轻微的破坏。是的，攻击者可以尝试重置密码，如果他们可以阅读电子邮件，但这很可能会被发现。在这种情况下，攻击者可以在没有进一步通知的情况下窥探。

此外，如果远程服务器不支持TLS加密，他们可能不会拒绝发送该邮件，因此可能有相当数量的用户向互联网公开了明文密码。

一般来说，电子邮件是发送机密的糟糕机制。它可能是加密的，也可能不是加密的，它往往会持续很长一段时间，并且它通常由帐户所有者控制之外的人(例如ISP和雇主)来维护，这些人可能有不符合道德标准的行为。如果必须发送秘密(例如，密码重置链接和一次性密码)，则它们的生存期应该是有限的，而这里的情况并非如此。

在我看来，该公司在密码处理方面的行为明显偏离了适当的安全做法。我猜这也不仅仅是密码处理的问题。