作者Deltaguita (貝里斯)
看板Soft_Job
標題[請益] 這算不算重大的資安問題啊？
時間Wed Jun 16 09:11:20 2021
各位大大好：
我發現在嚴重特殊傳染性肺炎企業紓困的網站
https://csm-subsidy.cdri.org.tw/smeapply110/outweb/buyapply/online/forget.aspx
只要輸入統一編號、聯絡人、電子信箱就會直接把密碼以明碼的形式寄到信箱。
(而且是舊密碼)
我印象密碼是不能以明碼方式儲存的，而且直接以明碼寄送更是不可以
不知道這個該去哪裡反應？ 算嚴重的資安問題嗎？
https://upload.cc/i1/2021/06/16/HDzali.png
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.171.217.102 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Soft_Job/M.1623805883.A.61A.html
※ 編輯: Deltaguita (1.171.217.102 臺灣), 06/16/2021 09:12:22
1F：→ play714: it 天才唐鳳你敢嘴？ 06/16 09:12
2F：→ Deltaguita: 不一定是唐鳳弄的吧，我覺得他已經不會實做到這麼細的 06/16 09:17
3F：→ Deltaguita: 功能了 06/16 09:18
4F：→ umum29: 這個是外包的嗎?可以這樣設計喔? 06/16 09:24
5F：推 alihue: 秘密不能以明碼存？ chrome 密碼自動填入表示： 06/16 09:28
6F：→ Deltaguita: chrome 用起來也是有點怕怕的呢 06/16 09:42
7F：推 taipoo: 唐鳳設計的系統跟現實社會脫節太多了 06/16 09:47
8F：→ Deltaguita: 我覺得你們一直cue他，晚點他來回覆留言的機會很高... 06/16 09:48
9F：→ x000032001: chrome至少有加密過好嗎 06/16 09:50
10F：推 abccbaandy: chrome一定要有你的密碼阿，不然怎麼輸入？ 06/16 10:05
11F：→ abccbaandy: 另外如果他傳給你的密碼不是你當初設定的，也許是安全 06/16 10:06
12F：→ abccbaandy: 的 06/16 10:06
是當初設定的喔
13F：→ alihue: 誰不知道 chrome 有加密，但原文意思是說密碼要用 hash 06/16 10:10
14F：→ alihue: 吧 06/16 10:10
印象中儲存跟傳輸都不應該明碼吧?
而且要以不可逆的方式hash，我看電商或是大型網站通常是搭配二階段驗證然後給一個
連結讓使用者重新設定一組密碼
15F：推 bill0205: 八成是腦殘官員要求的.... 06/16 10:20
16F：→ bill0205: 明碼傳送不見得是原始密碼 如果是才要怕 06/16 10:22
是當初設定的喔
17F：推 k798976869: 確實有點怪 06/16 10:22
18F：→ bill0205: 以前就真的愈過高官要求要寄明碼到信箱 但被主管反駁回 06/16 10:23
19F：→ bill0205: 去 06/16 10:23
20F：→ ChungLi5566: 是 密碼應該要單獨寄 不能跟登入帳號一起 06/16 10:35
這樣是有好一點點，但還是怪怪的XD
21F：→ kuso0516: chrome的存密碼跟網站存使用者的密碼是兩回事.... 06/16 10:35
22F：推 YahooTaiwan: 資安議題通常都是出問題再說啦，能用就好 06/16 10:39
※ 編輯: Deltaguita (1.171.217.102 臺灣), 06/16/2021 10:56:33
23F：→ realbout: 密碼不能查詢 只能叫忘記密碼 臨時登入後強制改 06/16 10:49
24F：推 IMPOSSIBLEr: chrome的存密碼應該是存在客戶端（希望啦），密碼 06/16 11:04
25F：→ IMPOSSIBLEr: 不應該可以取回應該是直接重設。 06/16 11:04
26F：→ godddddd: 痾...驗證後 給一個亂數密碼 請他進去後再修改 比較好吧 06/16 11:15
27F：→ HKCs: Google都說2FA才是正道了 搞一堆限制 根本是在防止使用者記 06/16 11:16
28F：→ HKCs: 起來 06/16 11:16
29F：→ ChungLi5566: 要推數位化的話應該順便推無密碼的FIDO 06/16 11:21
30F：推 wahaha279: 如果要求登入就改密碼就是合理的，但如果沒有 06/16 11:29
31F：→ Deltaguita: 即便要求馬上改也不太合適，因為很多人都共用一組... 06/16 11:34
32F：→ petercoin: Google的存密碼一定有上網啦...不然怎麼跨裝置用 06/16 12:01
33F：推 za755188: 他寄新密碼給你 還是你的舊密碼阿? 06/16 12:06
34F：→ Deltaguita: 舊密碼 06/16 12:17
35F：推 ctrlbreak: 舊密碼? 現在還有人這樣做喔 XD 06/16 12:21
36F：推 abccbaandy: 那這很嚴重，可以上新聞了...可惜記者應該看不懂這篇 06/16 12:44
37F：→ Deltaguita: 上新聞也還好，一般民眾根本不理解問題在哪裡 06/16 13:20
38F：→ shooter555: 一個factor auth不夠安全 就用兩個 兩個不夠就三個 06/16 13:35
39F：推 theedge: 推文好精彩 抓到一堆人密碼明文放db齁 06/16 14:53
40F：→ theedge: 那間公司報一下 準備進攻囉 06/16 14:53
41F：推 bill0205: 原始設定哦.....那真的很可怕 06/16 15:45
42F：推 gs8613789: 2FA才是正解 06/16 15:50
43F：推 yc0015139: 這讓我想到某公司忘記密碼是用簡訊寄明碼 怕 06/16 15:50
44F：推 za755188: 舊密碼...這個就 如果其他地方有相同密碼的話 趕快改吧 06/16 16:14
45F：→ za755188: 這種網站八成都外包 隨便做做也是不意外 06/16 16:15
46F：推 alihue: Google 不可能只放 client ，有同步 06/16 16:47
47F：推 for5566: 如果是新戶的話，他可能是產生暫用密碼，加密存資料庫之 06/16 16:51
48F：→ for5566: 前寄給你，不代表沒有加密。如果機忘記密碼他還能寄明碼 06/16 16:51
49F：→ for5566: 給你才是有問題 06/16 16:51
50F：推 pig22022: 理論上DB不能存明碼，能夠decrypt 也是很瞎 06/16 16:56
51F：推 alihue: 其實更可怕的是，下載 edge 可以從 chrome 匯入，包含密 06/16 17:07
52F：→ alihue: 碼的自動完成 06/16 17:07
53F：推 kurtsgm: 新密碼還算可以 舊密碼就不太行惹.... 06/16 17:10
54F：→ kurtsgm: 如果是新密碼的話 的確有可能先產生 寄信 然後才hash入DB 06/16 17:10
55F：推 hduek153: chrome那個是方便性 你可以決定要不要用 但是這個你不 06/16 18:09
56F：→ hduek153: 能決定阿 06/16 18:09
57F：→ lturtsamuel: 是預設的亂碼密碼就沒差吧 06/16 18:10
58F：→ lturtsamuel: 是舊密碼喔XDD 公部門水準不意外 06/16 18:11
59F：→ lturtsamuel: 明碼儲存還昭告天下 笑死 06/16 18:12
60F：→ bill0205: 以前有做過明碼傳送密碼 但也是一次性 而且也encrypt過 06/16 18:16
61F：推 alihue: chrome 其實只是表示不一定要存成 hash，傳輸加密和儲存 06/16 19:24
62F：→ alihue: 加密做好比較重要 06/16 19:24
63F：→ LinuxKernel: 有IT大臣餒 06/16 19:25
64F：推 mathrew: 寄舊密碼超瞎的，那就是明碼儲存阿 06/16 20:44
65F：推 darrenlin: 還好吧 如果是 API KEY 也是直接提供給 User 啊 06/16 21:10
66F：→ wawi2: XD 06/16 22:20
67F：推 Xaotic: 存明碼的人比你想像的要多很多 06/16 23:18
68F：推 jinmin88: 看到aspx就直接end 06/17 01:28
69F：→ abc0922001: https 跟憑證，應該是有加密的傳輸吧 06/17 17:46
70F：推 Sawilliam: 公家部門感覺不意外 06/17 23:52
71F：→ Sawilliam: 話說公家部門系統這麼多，我不覺得全部歸一個政委管 06/17 23:53
72F：推 godsparticle: 密碼查詢的確是再試對方的安全機制 06/18 04:59
73F：→ y800122155: 我看過公家單位網站密碼秀在網址的 06/18 13:23
74F：推 acgotaku: 有時效的一次性密碼做信箱/電話身份認證,哪裡不妥了？ 06/18 16:19
75F：推 acgotaku: 我不知道他的步驟是什麼,也沒操作過,但是信箱寄送明碼 06/18 16:23
76F：→ acgotaku: 這太算是嚴重資安問題,不然忘記密碼用two factor auth 06/18 16:25
77F：→ acgotaku: 不是很常見的做法嗎？ 06/18 16:25
78F：→ acgotaku: 而且用信箱寄明碼不代表存資料庫沒有encrypt過 06/18 16:27
79F：→ Deltaguita: 樓上我建議你把推文看完 :) 06/18 16:31
80F：推 jennya: 這不ok耶，的確是該找個地方回報一下 06/18 20:30
81F：→ newversion: 明碼很容易被 timing attack 06/18 21:04
※ 編輯: Deltaguita (1.171.211.169 臺灣), 06/19/2021 17:33:13
82F：→ Deltaguita: 一直都沒人跟我說哪裡可以回報XD 06/19 17:33
83F：推 shter: 這種流程比較像是銀行印密碼書的思維 06/20 00:20
84F：推 go1717: 我是堅持使用不一樣的帳號密碼 才不會怕原po這種鳥事^^ 06/20 17:04
85F：→ go1717: 且瀏覽器全程用無痕之類 我不會把密碼.自動完成存在瀏覽 06/20 17:04
86F：→ go1717: 器裡…這個動作有資安問題 06/20 17:04
87F：推 sxy67230: 想要搞大一點樓主就用媒體投書。想簡單解決的話，我用 06/23 09:12
88F：→ sxy67230: 網頁上的客服電話反應吧。 06/23 09:12
89F：→ agario: 搜尋一下「我的密碼沒加密」這個網站 06/27 08:36
90F：→ go1717: 一定要使用完全不同的帳密 根本就不怕對方沒加密而外流^^ 06/27 11:41
91F：推 Gossiking: 什麼時代了還連hash都沒有 07/04 00:40
92F：推 shimachokong: 寄舊的密碼耶，看來我要小心了 08/02 21:00