Solo per fare l'avvocato del diavolo ...

È probabile che tu venga compromesso come se stessi usando la stessa password su entrambi i siti *.

Come la maggior parte delle persone ha sottolineato, probabilmente non devi preoccuparti. Non tanto perché un sito Web non può fare la differenza tra una password buona o sbagliata, ma piuttosto perché la maggior parte dei siti Web che visiterai probabilmente non registrerà la tua password. La ragione è semplicemente che non fornisce loro alcun valore. La maggior parte dei siti web sono lì per fare affari legittimi e quindi non vedono alcun valore nell'essere dannosi registrando ogni password inserita.

Tuttavia, se avessi intenzioni malvagie e volessi raccogliere molte possibili password, ospitare un servizio online per raccogliere le password sarebbero probabilmente un'alternativa migliore rispetto al tentativo di forzare ogni possibile combinazione. Catturare tutte le password, anche quelle cattive, non è una cattiva idea se stai ospitando quel tipo di "servizio". È molto probabile che gli utenti che hanno più password immettano le password sbagliate sul sito sbagliato, quindi registrare sia tentativi sbagliati che buoni è un buon piano di attacco.

Ad esempio, considera questa citazione da https : //howsecureismypassword.net/

Questo sito potrebbe rubare la tua password ... non lo è, ma potrebbe esserlo facilmente.
Fai attenzione a dove digiti la password.

Mette le cose in prospettiva. Inoltre, un tale "servizio" malvagio è così improbabile? È difficile da dire ma di sicuro non è niente di nuovo: https://xkcd.com/792/

Nota * : beh, ho detto "come probabile" ma non è esattamente vero. Utilizzando la stessa password su molti siti non si è solo vulnerabili ai siti dannosi ma anche all'incompetenza dei proprietari dei siti. Molti siti web memorizzano ancora la tua password come testo normale nel loro database o utilizzano un hashing debole, il che significa che se un utente malintenzionato è in grado di rubare il proprio database, la tua password è compromessa.

Probabilmente stai bene: non esiste una distinzione particolare tra una password sbagliata per il sito giusto e una password corretta per il sito sbagliato. Anche se ci fosse, il sito che ha ricevuto la password sbagliata non saprebbe su quale sito avrebbe dovuto essere utilizzato.

E questo prima di considerare che sarebbe raro registrare le password per tentativi di accesso falliti .

Nessun danno nel cambiarlo, ma a meno che non utilizzi il nome dell'altro sito come password, sembra improbabile che qualcuno possa fare uso delle informazioni.

Anche se immagino che la maggior parte degli sviluppatori web sani di mente non registrerebbe versioni in chiaro dei tentativi di password falliti, è ancora possibile. Se vuoi andare sul sicuro puoi considerarlo compromesso e reimpostare quella password; tuttavia, personalmente non lo considererei un problema a meno che non sentissi oltre ogni ragionevole dubbio che il primo sito potrebbe potenzialmente presentare un rischio per me.

L'unico caso in cui cambierei questa password è se il sito che protegge è sostanzialmente più importante per te del sito in cui l'hai digitato.

Ad esempio, ci sono persone nel mondo che hanno accesso a sistemi a cui gli attori dello stato-nazione sarebbero interessati. Se queste persone dovessero digitare la loro password importante in un altro sito, dovrebbero cambiarla immediatamente.

Considera la password come compromessa . Nessuno può assicurarti che

• il sito non ha amministratori di sistema non autorizzati.
• il sito ha password con hash o crittografate.
• mancano di vulnerabilità sql-injection che consente di recuperare i dati, inclusi nomi utente / email / password.
• chiunque acceda a questi dati oserà testare l'intrusione in molti altri siti e sarai così sfortunato che colpirà proprio quello.

Finché esiste la minima possibilità che una o tutte le precedenti siano vere, hai una password compromessa.

Come regola generale, la password scomparsa è password vuoto. Cambialo e dormi.

Un'altra storia diversa è se vuoi effettivamente perdere il tuo tempo cambiando una password che non protegge nulla (ad es. Blog vuoto, account di posta elettronica inutile, ...) o il tuo conto bancario.

Il termine "compromesso" non è un sì o un no binario. È un concetto che misura chi ha accesso a un account e quanto i suoi obiettivi possono essere in contrasto con i tuoi.

In questo caso, supponi che chiunque abbia avuto accesso agli accessi su www.example.com ora abbia il tuo parola d'ordine. Ciò include chiunque abbia violato www.example.com e tutti i dipendenti a cui la leadership di www.example.com si fiderebbe con un accesso sufficiente per raccogliere le password dagli utenti (forse una manciata di DBA).

Questi sono tutti i dati . Vai da lì. Se hai utilizzato una password utilizzata per salvaguardare informazioni classificate su un forum, dovresti trattarla immediatamente come compromessa, perché quel livello di esposizione è inaccettabile per un account così privilegiato. Se hai usato la password di un forum su un altro, probabilmente non è il problema più grosso.

Nel mezzo, potresti considerare il caso in cui hai usato la password del tuo conto bancario su un forum. Questa è un'area grigia che dipende interamente dal tuo modello di minaccia personale.

• Se il sito (beh, la persona dietro di esso) è dannoso, aggiungerà la password non riuscita all'elenco delle cose che sa di te e considererà sicuramente la tattica di provarla su ogni altro account che conosce. Pertanto, dovresti considerarlo compromesso.

• Se il sito è incompetente, potrebbe in qualche modo far trapelare la tua password non riuscita. Ma se lo fa, perderà anche molti lievi errori di battitura delle proprie password, il che è davvero piuttosto grave per loro. Quindi deve essere davvero piuttosto incompetente.

• Se il sito è fondamentalmente normale, allora stai bene, non terrà traccia delle password fallite (o di quelle di successo, del resto, a parte il record con hash e salato).

Tieni presente che i siti che sono stati compromessi possono ragionevolmente essere considerati dannosi.

Quindi, è necessario considerare l'equilibrio tra il rischio che siano molto dannosi o molto incompetenti o molto compromessi e il costo associato della compromissione della password rispetto al costo per la modifica della password.

Se temi che il rischio possa essere significativo, cambia la password. Questo di solito è molto semplice quando si utilizza un gestore di password, non è che devi imparare quello nuovo. Tuttavia, è molto probabile che il tuo sforzo non sia necessario, poiché la maggior parte dei siti web sono "fondamentalmente normali" per la maggior parte del tempo.

Dovresti anche riflettere attentamente su cosa ha portato all'errore. Il fatto di aver inserito le proprie credenziali nel "sito sbagliato" è un errore comprensibile, ma assicurati di non essere sistematicamente fallito nel verificare correttamente l'identità dei siti prima di inserire le credenziali, altrimenti stai vulnerabile lì.

Se hai inserito la password del sito Web A nel sito Web B,

Considera alcuni aspetti: quanto è affidabile il Web B? Web B è un'azienda rinomata conforme agli standard di mercato? I contenuti del Web Davvero vulnerabile? C'è un modo per indovinare dalla password a quale sito web appartiene?

Se sei confuso su una di queste domande, cambiala.

Non saprai mai se il WebManager / SysAdmin sta memorizzando la password come testo grezzo o crittografia decodificabile nel server, o se la stanno proteggendo con un hashing in un modo.

Il sito in cui hai digitato la password errata era facebook.com?

http://www.businessinsider.com/how-mark-zuckerberg-hacked-into-the-harvard- crimson-2010-3

Mark ha utilizzato il suo sito, TheFacebook.com, per cercare membri del sito che si sono identificati come membri di Crimson. Quindi ha esaminato un registro di accessi falliti per vedere se qualcuno dei membri di Crimson avesse mai inserito una password errata in TheFacebook.com. Se i casi in cui erano stati inseriti non erano riusciti, Mark ha provato a utilizzarli per accedere agli account di posta elettronica di Harvard dei membri di Crimson. Ha avuto accesso a due di essi con successo.

Equipaggiamo il nostro leggendario [Tinfoil Hat] .

I siti web possono registrare le mie password?

Supponiamo che il sito web abbia eseguito l'hashing correttamente. Quando accedi a un sito web, possono prendere la tua password in chiaro e confrontarla con l'hash memorizzato. Se la password corrisponde all'hash memorizzato nel database, ti consentirà di autenticarti. In caso contrario, ti informerà che la tua password non è valida.

E allora?

Bene, così accade che chiunque con un minimo di conoscenza di programmazione possa registrare password non valide aggiungendo una nuova riga a un metodo di autenticazione per qualsiasi tipo del sito Web ... anche se si tratta di un popolare portale Web open source, forum o qualsiasi tipo di pacchetto. Finché la sorgente può essere modificata, si può cambiare tutto ciò che si desidera, in questo modo:

  private void CheckPasswordBeforeHackingMyAOL-CD (stringa input, stringa nome utente) {if (IsValid (input) && IsValid (nome utente) && Bcrypt.TestHash (input, Database.GetHashForUser (nome utente)) {AuthenticateMyFace ();} else {Database.LogFailedAttemptDetailsWithParametersBecauseSQLInjectionSucks (nome utente, input)    > In effetti, un programmatore potrebbe farlo  prima  di eseguire l'hashing per tutto ciò che ha a che fare con le password. Non c'è nulla che impedisca a nessuno di farlo. 
 
 Gestione dei rischi 
 
 Ecco alcune domande da considerare: 
 
 Ti interessa l'integrità di uno degli account? 
 
 La stessa email è in uso in entrambi gli account? 
 
 In questio usi la stessa password sia per l'email che per i siti web n (spero di no)? 
 
 Se sì a 1-3, consiglierei di cambiare la password. A meno che non ti interessi. 
 Ora che abbiamo dimostrato che ciò è possibile su tutti i fronti, dovresti aver paura di un simile attacco? Non me ne preoccuperei. Se sei preoccupato, probabilmente dovresti usare qualcosa come  KeePass per gestire le credenziali del sito web in modo da non doverti preoccupare legittimamente.