Как такие сайты, как Meebo, хранят имена пользователей и пароли?

Question

Я недавно использовал Meebo , и я должен признать, что я немного параноидален в отношении того, чтобы вводить свою регистрационную информацию для мгновенных сообщений на таком сайте. Как они хранят мое имя пользователя и пароль для каждой отдельной службы обмена мгновенными сообщениями? Я чувствую себя комфортно, только когда сайт берет мой пароль и выполняет на нем какую-то необратимую одностороннюю функцию, но кажется, что Meebo придется хранить мои пароли таким образом, чтобы они могли восстановить их в любое время, чтобы облегчить автоматический вход в отдельные службы IM, которые они поддерживают. Я оправдан, будучи параноиком по этому поводу?

---

EDIT: Я нашел этот отрывок из политики конфиденциальности Meebo :

Имена пользователей паролей и их имена. Meebo позволяет получить доступ к сторонним службам обмена мгновенными сообщениями, войдя в свою учетную запись через Meebo («Сторонние службы мгновенных сообщений»). Чтобы получить доступ к своей учетной записи сторонней службы обмена мгновенными сообщениями, необходимо ввести соответствующие имена пользователей и пароли в службе Meebo. Чтобы использовать основные службы обмена мгновенными сообщениями на Веб-сайтах, Meebo не хранит пароли ваших учетных записей сторонних служб обмена мгновенными сообщениями на нашем сервере. Если вы хотите использовать расширенные функции Сервисов, такие как автоматический вход, может потребоваться хранение ваших паролей.

Джефф Этвуд некоторое время назад писал в этой теме: Пожалуйста, дайте нам свой пароль электронной почты .

Answer 1

Да, вы.

Answer 2

1. Meebo to Piskvor: Дайте мне ваш пароль для обмена мгновенными сообщениями, я войду для вас.
2. Писквор к Meebo: Это "12345".
3. Meebo to IM: Привет, я "Писквор"; чтобы доказать это, мой пароль "12345"
4. IM для Meebo: Здравствуйте, вы действительно "Писквор"; для вас также есть сообщение от пользователя «средний».
5. Meebo to Piskvor: для вас есть сообщение от пользователя «средний».
6. (и т.д.)

Обратите внимание на строки 2 и 3. Для выполнения # 3 Meebo нужен ваш пароль; (если не существует какого-либо сотрудничества между провайдером IM и Meebo (что возможно, но маловероятно)), в какой-то момент между этими строками у вас есть открытый текстовый пароль.

Поздравляем, вы больше не имеете полного контроля над своей учетной записью IM; Что касается службы обмена мгновенными сообщениями, Meebo означает you.

Другими словами: вы доверяете Meebo не злоупотреблять своим паролем? Вы доверяете Meebo для защиты вашего пароля? Вы верите, что Meebo не будет взломан, а ваш пароль украден? Насколько я понимаю, нет никакого способа сказать (если вы не Meebo, который вы не).

Это сводится к следующему: Вы доверяете обещаниям Meebo?

Вот мои $ 0,02: удобно? Проверьте. Ужасно небезопасно? Проверьте.

---

Да, и чтобы ответить на вопрос в заголовке: наилучшей практикой будет «зашифровывать пароль, нигде не хранить открытый текст (дольше, чем это абсолютно необходимо)». Однако я видел слишком много баз данных с открытыми текстовыми полями паролей; некоторые компании, по-видимому, считают шифрование пустой тратой времени, пока не произойдет что-то действительно плохое Есть ли Meebo? У меня нет способа сказать.

Answer 3

Да, вы оправданы. Когда вы предоставляете свое имя пользователя / пароль для сайта, любого сайта, вы действительно не знаете / не гарантируете, что они собираются с ним делать и как они будут его защищать.

Answer 4

В блоге meebo они обсуждают свои функции безопасности более подробно. Вот резюме:

«Мы храним соленый хеш вашего [meebo] пароля, а НЕ самого пароля».

"[мы используем ваш] пароль учетной записи Meebo для временного дешифрования паролей для ваших учетных записей IM. Мы сохраняем только расшифрованную версию в памяти, и мы забываем дешифрованную версию, как только вы выходите из системы."

Так что сервис кажется довольно безопасным. Если вы хотите быть в большей безопасности, не входите в систему под своей учетной записью meebo, вместо этого войдите в систему, используя данные своего чата.

Answer 5

Если у них нет контрактов с каждым из поставщиков, в которых они создают хэш и передают только хэш, им нужно будет хранить вашу информацию.

Answer 6

Meebo шифрует пароль вашей индивидуальной учетной записи и пароль вашей учетной записи meebo. Ваш пароль к учетной записи meebo bcrypt-ed. Таким образом, Meebo не знает ни одного вашего пароля, если вы не вошли в систему. http://blog.meebo.com/?p=2220

Answer 7

Они объясняют, как они отправляют данные из браузера на свои серверы здесь; RSA-шифрование в javascript перед отправкой формы.

http://www.meebo.com/security/

РЕДАКТИРОВАТЬ: Уточнение, они не указывают, как они хранят его, но, вероятно, это двустороннее шифрование, возможно, с паролем пользователя в качестве ключа?