37585


一般に提供されている任意のWebアプリケーションについて、こちらのクレデンシャル（パスワードなど）をデータベースに保存する際に暗号化しているかどうかを、開発者側からでは無くユーザー側から確認できる手段は存在しますか？


CC BY-SA 3.0
2017-08-29T12:37:33.820
37577
2017-08-30T01:31:10.350
2017-08-30T00:19:13.540
5793
25090
question
security
任意のWebアプリケーションに対するセキュリティ確認について


ユーザといってもどういう立場なのかで違いますが

悪意あるユーザー(クラッカー)として盗みやすいサイトを探している、のであればこの場でお手伝いしないほうが良さそうです。

一般ユーザーとして「このサイトにパスワードを登録して漏れないかを心配している」のであれば  
一番簡単には｢パスワードを忘れた」画面で、サイト側がどういう挙動を示すかで調査することができるでしょう。

「現パスワードがメールで届く」サイトはパスワードを平文保存していると考えてよいです（非可逆変換していれば Web
アプリケーション自体も元パスワードを知ることができないため）セキュリティ意識０なので近づかないほうが良さそうです。

｢新しいパスワードはこれです」をメールで送ってくるサイトは（パスワードをきっちり非可逆変換して保存しているにせよ）セキュリティ意識が薄いと考えてよいです。

「このメールが届いてから＊分以内に添付 URL にアクセスしたら新パスワードを設定できます」だったらそこそこ信頼してよいでしょう。当該 URL が
https の場合に限ります。

サイト側がどんな言語やデータベースで Web アプリを組んでいてどうこう、を調査する行為はそのままアタック行為ですから、試すなら相手の了解を取ってから。


CC BY-SA 3.0
2017-08-30T01:31:10.350
37585
2017-08-30T01:31:10.350
8589
37577
answer