[WEBSITE] krijg email met mijn wachtwoord?

[DJF3]

Gisteren kreeg ik na het wijzigen van mijn wachtwoord op 2 websites een email met daarin het nieuwe wachtwoord!

Ik dacht altijd dat passwords via een one-way hash versleuteld waren?

Waarom kan een website mij dan een email sturen met daarin mijn wachtwoord?

Dirk

[Miyamoto]

Het zou moeten dat dat was, maar als de website-bouwer zich er niet aan houdt...

Dat je niet door rood mag rijden, wil niet zeggen dat het niet gebeurd.

[RedHat]

Dan is het wachtwoord dus niet versleuteld.

[Alex)]

Helaas doen niet alle websites aan versleuteling d.m.v. een one-way hash of een algoritme. Sommige websites slaan een wachtwoord op met omkeerbare versleuteling of zelfs helemaal geen versleuteling.

[Gizz]

Je kunt ze hier aanmelden: http://plaintextoffenders.com/

[ItsValium]

Of werd de mail opgesteld voor het versleuteld wegschrijven van het wachtwoord? Hoewel ik dit zelf nooit zo implementeer kan het wel.

[iBasch]

Het wachtwoord kan verstuurd worden op het moment dat het formulier de aanvraag verwerkt. Eerst de email versturen en vervolgens het wachtwoord hashen, of het niet-gehashte wachtwoord tijdelijk onthouden en alleen de hash opslaan in de database. De andere mogelijkheid is inderdaad dat het wachtwoord niet gehasht opgeslagen wordt, allebei niet erg aan te raden praktijken.

[DJF3]

Gizz schreef op zondag 19 januari 2014 @ 17:42:
Je kunt ze hier aanmelden: http://plaintextoffenders.com/

Haha! Dat klinkt als een website waar hackers kunnen zien welke site mogelijk de moeite waard is om te hacken ;-)

Iedereen: bedankt voor de reacties.
Al mijn wachtwoorden zijn gelukkig volledig willekeurig en >25 karakters, maar er zijn voldoende mensen die 1 wachtwoord gebruiken op veel sites.

[NMe]

Het is best mogelijk om je registratie-email eerst te sturen en pas dan je wachtwoord versleuteld op te slaan in de database. Over het nut van het versleutelen van een wachtwoord nadat deze éérst onversleuteld naar je toe gestuurd is via het meest onveilige protocol op het internet laat ik me even niet uit, maar het feit dat ze je wachtwoord toesturen zegt niks over hun beveiliging op databaseniveau.