วิธีการรับรองผู้ใช้ว่าเว็บไซต์และรหัสผ่านมีความปลอดภัย [ปิด]

ในเว็บไซต์ที่เชื่อถือได้ฉันจะเห็นการอ้างสิทธิ์เช่น "ข้อมูลทั้งหมดได้รับการเข้ารหัส" หรือ "รหัสผ่านทั้งหมดจะถูกเข้ารหัสโดยใช้การเข้ารหัสแบบ 128 บิต" และอื่น ๆ อย่างไรก็ตามฉันไม่เคยเจอการอ้างสิทธิ์เช่น "รหัสผ่านทั้งหมดถูกแฮช"

ในเว็บไซต์ของฉันฉันจะเก็บรหัสผ่านผู้ใช้ทั้งหมดในฐานข้อมูลหลังจากใช้ SHA-512 (ส่วนใหญ่) hashing ด้วยเกลือแบบสุ่ม ฉันต้องการเพิ่ม snipet ที่ทำให้ผู้ใช้มั่นใจว่ารหัสผ่านของพวกเขาปลอดภัยดังนั้นพวกเขาจะไม่ถูกขัดขวางจากการใช้เว็บไซต์ของฉันเพราะมันต้องใช้รหัสผ่าน ฉันต้องการให้ผู้ใช้รู้สึกปลอดภัย แต่ฉันไม่คิดว่าทุกคนรู้ว่าการแฮ็กคืออะไร

คำถามของฉัน: การส่งข้อความโดยบอกว่า "รหัสผ่านทั้งหมดมีการเข้ารหัสและปลอดภัย" เนื่องจากฉันไม่คิดว่าผู้ใช้โดยเฉลี่ยจะรู้ว่าความแตกต่างระหว่างการแฮชและการเข้ารหัสคืออะไรและมีแนวโน้มที่จะรู้สึกปลอดภัยมากขึ้นเพราะพวกเขาเห็น คำว่า "เข้ารหัส" ที่สะดวกสบายคืออะไร? หรือมีข้อความอื่นที่ฉันควรให้?

ในหมายเหตุด้านบนฉันยังใหม่กับการเข้ารหัสและการแฮ็กรหัสผ่านและฉันสงสัยว่าสิ่งนี้จะปลอดภัยพอสำหรับตอนนี้เมื่อฉันเปิดไซต์หรือไม่ ฉันไม่ต้องการบอกผู้ใช้ว่าปลอดภัยหากไม่เป็นเช่นนั้น ข้อมูลใด ๆ ที่จะได้รับการชื่นชมอย่างมาก ขอบคุณ

1. ผู้ใช้ไม่สนใจ

   ครั้งเดียวที่พวกเขาสนใจคือเมื่อมีคนถอนเงินออกจากบัญชีธนาคารของพวกเขาและปรากฏว่ามีลิงก์ที่เมื่อไม่กี่วันก่อนมีคนเข้าใช้ฐานข้อมูลของคุณได้อย่างเต็มที่

2. ในเกือบทุกกรณีที่ฉันเห็นข้อความเหล่านี้พวกเขาทำให้เข้าใจผิด หนึ่งที่เฮฮาที่สุดคือในเว็บไซต์ที่มีป้ายกำกับสไตล์ "ทหารระดับความปลอดภัย" ในทุกหน้า มีการแจ้งเตือนว่าใบรับรอง HTTP ไม่ถูกต้อง มี SQL Injection บนแบบฟอร์มเข้าสู่ระบบ ไม่กี่สัปดาห์ต่อมาเว็บไซต์ถูกแฮ็กแล้วหายไปตลอดกาล

   ฉันหยุดนับจำนวนเว็บไซต์ที่อ้างว่าพวกเขารักษาข้อมูลให้ปลอดภัยขณะที่มีแบบฟอร์ม "กู้คืนรหัสผ่านของฉัน" ซึ่งจริง ๆ แล้วส่งรหัสผ่านเดิมทางอีเมล

   มันเหมือนกับป้ายกำกับ "X3ML ที่ถูกต้อง XHTML" เหล่านั้น ทำไมพวกเขามักจะวางเว็บไซต์ที่แม้แต่หน้าแรกมีอย่างน้อยสิบข้อผิดพลาดและรหัสเช่น<DIV COLOR='red'>?

หากคุณยังต้องการสร้างความมั่นใจให้กับผู้ใช้คุณสามารถใส่สิ่งต่อไปนี้:

รหัสผ่านของคุณปลอดภัย โปรดจำไว้ว่าเราไม่สามารถเห็นรหัสผ่านของคุณและจะไม่ส่งอีเมลถึงคุณเพื่อขอรหัสผ่าน

แต่ตรงไปตรงมารูปแบบ "รีเซ็ตรหัสผ่านของฉัน" แทนที่ "ฉันลืมรหัสผ่านของฉันส่งมาให้ฉันทางอีเมล" มีความมั่นใจมากกว่าคำใด ๆ

คำแนะนำจากความคิดเห็นที่แตกต่าง:

• อย่าบูรณาการล้อ: ใช้ OpenID ด้วยวิธีนี้คุณไม่ต้องเก็บแฮช

  ที่มา: การแสดงความคิดเห็นโดยยานฮูเดค

• เนื่องจากคุณเป็นนักเรียนให้เปิดโครงการของคุณ เนื่องจากข้อกังวลของคุณคือ: "ฉันไม่ต้องการให้ผู้ใช้คิดว่ารหัสผ่านไม่ปลอดภัยเพราะเด็กบางคนในโรงเรียนออกแบบไว้"ไม่มีอะไรที่ทำให้มั่นใจได้อีกต่อไปว่าสามารถตรวจสอบได้โดยการอ่านซอร์สโค้ดซึ่งเขียนโดยนักพัฒนาฝีมือดีที่ใส่ใจเรื่องความปลอดภัย

  ที่มา: การแสดงความคิดเห็นโดยแจ Doggen

อย่าเก็บรหัสผ่านไว้ตั้งแต่แรก! ทำตามตัวอย่างของ Stack Exchange และให้ผู้ใช้เข้าสู่ระบบด้วยตัวตนของพวกเขาในเว็บไซต์อื่นที่ให้การรับรองความถูกต้องผ่าน OpenID การติดตั้งใช้งานได้อย่างอิสระสำหรับกรอบเว็บทั่วไป

หรืออาจเป็นโปรโตคอลอื่น ๆ ถ้าเป็นโครงการภายในสถาบันสำหรับบางสถาบัน (ตามความเห็นของคุณในคำตอบอื่น ๆ ที่แนะนำ) มีอยู่แล้วแน่นอนว่าเป็น LDAP, Kerberos (Windows Active Directory เป็นพื้นฐานของทั้งสองเช่นกัน apache รองรับการตรวจสอบ HTTP กับพวกเขา) หรือบางส่วน บริการดังกล่าวสำหรับการเข้าสู่ระบบคอมพิวเตอร์ เพียงเชื่อมต่อกับสิ่งนั้น

นี้ช่วยให้คุณประหยัดจากการจัดเก็บข้อมูลที่สำคัญ (คุณจะส่วนใหญ่อาจจะยังคงมีการจัดเก็บสิทธิ์ แต่พวกเขาไม่ได้ที่สำคัญ) และผู้ใช้จากการมีที่จะจำยังชื่อผู้ใช้และรหัสผ่านอื่นดังนั้นโดยรวม win-win

พูดว่า:

"ปลอดภัยแล้ว"

เป็นการตัดสินส่วนตัวที่คุณทำเกี่ยวกับข้อเท็จจริงหรือกระบวนการทางเทคโนโลยีบางอย่างและการตัดสินนี้ จำกัด ด้วยสิ่งที่คุณรู้เกี่ยวกับความปลอดภัยในเวลานั้น แต่คุณสามารถรับประกันได้โดยไม่ต้องสงสัยเลยว่าการเข้ารหัสวิธีการจัดเก็บและอื่น ๆ ของคุณจะสามารถป้องกันการโจมตีใด ๆ แม้แต่สิ่งที่คุณไม่รู้หรือยังไม่รู้เลย

ความหมาย: ข้อความนี้มีความเสี่ยงที่จะล้าสมัยบางทีคุณอาจไม่รู้ตัว

ฉันมักจะเห็นด้วยกับความคิดเห็นข้างต้นโดย @JoachimSauer: เพียงอธิบายสิ่งที่คุณทำวิธีบันทึกข้อมูลผู้ใช้และบอกผู้ใช้ว่าควรให้บริการของคุณปลอดภัยอย่างไร จากนั้นให้ผู้ใช้ตัดสินด้วยตนเอง

มันขึ้นอยู่กับบริบทของเว็บไซต์เฉพาะของคุณ

ตัวอย่างเช่นหากนี่คือเว็บไซต์ของผู้บริโภคอัตราต่อรองคือส่วนใหญ่ของพวกเขาจะดูแลเฉพาะเกี่ยวกับรหัสผ่านของพวกเขา (อาจ) ข้อมูลทางการเงิน / สุขภาพ (ขึ้นอยู่กับ) และข้อมูลส่วนตัวของพวกเขาเช่นรูปภาพ (hahaha ใช่ใช่ ... ) .

หากนี่เป็นแอปพลิเคชันทางธุรกิจระดับความปลอดภัยของไซต์ทั้งหมดนั้นจะเกี่ยวข้องไม่ใช่แค่รหัสผ่าน ในทำนองเดียวกันมันขึ้นอยู่กับว่าผู้ใช้เป้าหมายของคุณคือใคร - ด้านเทคนิคสูง / ไม่ใช่ช่างเทคนิคเป็นต้น

บริบททั้งหมดนี้กำหนดสิ่งที่คุณควรสื่อสารอย่างมากและจำเป็นต้องมีระดับความมั่นใจ

ตัวอย่างเช่นสำหรับผู้บริโภคที่ไม่ใช่ด้านเทคนิคมันก็เพียงพอที่จะมีความคิดเห็นทั่วไปที่เรียบง่ายเช่น:

ไซต์นี้สร้างขึ้นโดยใช้เทคนิคการรักษาความปลอดภัยที่ล้ำสมัย รหัสผ่านของคุณจะถูกเข้ารหัสเสมอและเราจะไม่ส่งรูปภาพของคุณไปที่ NSA

(และเป็นคนอื่นได้กล่าวว่าคุณจะดีกว่าไม่ได้มีรหัสผ่านที่ทุกคนใช้มาตรฐานบางอย่างเช่น OpenId หรือ OAuth.)

สำหรับธุรกิจที่มีเทคนิคสูงคุณต้องการมีรายละเอียดทางเทคนิคและขั้นตอนแบบเต็มหน้าเช่น:

เราได้ดำเนินการ SDL เต็มรูปแบบ (วงจรการพัฒนาที่ปลอดภัย) ตลอดกระบวนการพัฒนาและการปรับใช้ของเรา
...
สถาปัตยกรรมความปลอดภัยของเราคือ ... สิ่งนี้ให้ประโยชน์ของ ...
เรามั่นใจว่าการเข้ารหัสที่ปลอดภัยเช่น ... โดย ... เราดำเนินการทดสอบเหล่านี้และเหล่านั้น
การเข้ารหัสของเรามีอัลกอริธึมเหล่านี้ ... และ ... เราปฏิบัติตามกฎข้อบังคับอุตสาหกรรมใด ๆ ที่คุณต้องการและได้รับการรับรองสำหรับ ...
ความปลอดภัยของเราได้รับการตรวจสอบโดยที่ปรึกษาอิสระรายนี้
...
สำหรับรายละเอียดเพิ่มเติมและเพื่อทบทวนนโยบายของเราหรือจัดให้มีการตรวจสอบอิสระโปรดปรึกษากับฝ่ายการตลาด

แน่นอนว่าคุณไม่ต้องการให้ข้อมูลที่ละเอียดมากเกินไปมันควรจะเกี่ยวกับกระบวนการมากกว่ารหัสผ่านของตัวเอง ... และแน่นอนว่ามันควรจะไปโดยไม่บอกว่าความจริงควรสอดคล้องกับสิ่งที่คุณเขียนที่นั่น ไม่ว่าคุณกำลังเผชิญกับบริบทใด

ในฐานะที่เป็นหนึ่งในคำตอบที่กล่าวถึงผู้ใช้ส่วนใหญ่ไม่สนใจไม่เข้าใจสิ่งที่คุณบอกพวกเขาและจะยังคงลงทะเบียนต่อไปแม้ว่าคุณจะบอกว่าคุณส่งข้อมูลผู้ใช้ไปยัง NSA
นี่ไม่ใช่สำหรับพวกเขา
พวกเขาจะมีความสุขที่ไม่มีรหัสผ่านใด ๆ เพียงแค่ให้ฉันเลือกชื่อผู้ใช้จากรายการและเข้าสู่ระบบโดยอัตโนมัติ

เห็นได้ชัดว่านี้เป็นร้อยละขนาดเล็กที่ดูแล - คุณควรจะช่วยให้ผู้ใช้สมาร์ทที่จะทำสิ่งที่ถูกต้องที่จะให้พวกเขามีข้อมูลที่พวกเขาต้องการและให้พวกเขาศึกษาพวกเขาอาจจะขอ
หากคุณไม่ทำเช่นนั้นเมื่อผิดพลาดอีก 98% จะตื่นขึ้นมาและโกรธ
( "แน่นอนว่าผมรู้ว่าผมไม่ต้องใช้รหัสผ่านที่จะเห็นภาพของฉัน แต่ฉันไม่คิดว่าใครอื่นนอกจากนี้ยังได้เห็นพวกเขา !!")

หากคุณต้องการให้ระบบของคุณปลอดภัยจุดแข็งของอัลกอริทึมรหัสผ่านนั้นไม่มีความหมายแฮกเกอร์ส่วนใหญ่สามารถถอดรหัสรหัสผ่านได้ในเวลาไม่นานโดยเฉพาะอย่างยิ่งถ้ารหัสผ่านที่เลือกมีขนาดเล็กหรือประกอบด้วยคำทั่วไปที่แฮ็กเกอร์ "ตารางรุ้ง usiong และที่คล้ายกัน อ่านบทความของ ArsTechnica เกี่ยวกับการถอดรหัสรหัสผ่านเพื่อความเข้าใจที่ลึกซึ้ง

สิ่งที่คุณต้องทำคือให้ความมั่นใจกับผู้ใช้ว่าคนร้ายจะไม่สามารถแฮชได้ตั้งแต่แรก บริษัท ที่ใส่ใจเรื่องความปลอดภัยแห่งหนึ่งที่ฉันทำงานให้มีระบบเว็บ 3 ชั้นที่เว็บเซิร์ฟเวอร์ไม่ได้เชื่อมต่อกับเซิร์ฟเวอร์ฐานข้อมูล เมื่อเจ้านายของฉันต้องการวางเว็บไซต์ของเขาและเข้าถึง DB โดยตรง (โค้ดที่ออกแบบมาไม่ดีนัก 'เขาพูดว่า) เขาบอกว่าเขาไม่สามารถทำได้และเมื่อเขาผลัก ... ก็บอกว่าไม่มีสายไฟระหว่างกัน . เขาต้องสร้างมันดังนั้นมันจึงผ่านการร้องขอข้อมูลทั้งหมดผ่านบริการระดับกลาง และบริการเหล่านั้นไม่เพียง แต่มีความปลอดภัยเท่านั้น แต่ยังมีพื้นผิวที่จะถูกโจมตีน้อยที่สุดและถูกล็อคไว้ และฐานข้อมูลไม่เคยเปิดเผยใด ๆ ของตารางสำหรับการอ่านเฉพาะขั้นตอนการจัดเก็บที่จะถูกล็อคลงเพื่อให้บริการที่เกี่ยวข้องเท่านั้นที่มีการเข้าถึง

การเขียนโค้ดไม่ดีอย่างที่คุณคิดเมื่อคุณรู้จักสถาปัตยกรรมและการแยกแต่ละระดับมันค่อนข้างง่ายที่จะเขียนโค้ด

คุณสามารถพัฒนาเว็บไซต์ที่ปลอดภัยที่สุดในโลกและมีประสบการณ์การใช้งานที่ไม่ดีนัก ผู้ใช้จะถือว่าเว็บไซต์ของคุณไม่ปลอดภัย

คุณสามารถสร้างเว็บไซต์ที่ปลอดภัยที่สุดในโลกและมีประสบการณ์การใช้งานที่น่าอัศจรรย์ ผู้ใช้จะถือว่าเว็บไซต์ของคุณปลอดภัย อย่างน้อยก็จนกว่าจะปรากฏในข่าวภาคค่ำ