La tua comprensione è sbagliata. Se le password vengono memorizzate come hash salato forte, l'amministratore non riesce a trovare password utente buone , ma può trovarne quelle che si trovano negli elenchi di password di uso comune applicando hash e salt a ogni password sul elenco e alla ricerca di una corrispondenza. È molto più facile se le password memorizzate non sono salate, poiché in tal caso devi eseguirlo solo una volta e non una per utente, quindi questo potrebbe indicare che le password memorizzate non sono salate , il che è contrario alle migliori pratiche.

A quanto ho capito, non dovrebbe esserci un modo per loro di controllare periodicamente la mia password a meno che la mia password non sia stata memorizzata in chiaro.

In realtà, c'è: cracking .

Esiste una pratica nota mediante la quale gli amministratori di sistema eseguono strumenti di cracking (John the Ripper, Hashcat, ecc.) contro le password con hash. Le persone con password semplici possono essere violate in quantità minime di tempo; quindi, come lo definiscono loro, se violavano la tua password, era facilmente individuabile ea rischio.

Per citare questo articolo su John lo Squartatore:

Come decidi di usare John dipende da te. Puoi scegliere di eseguirlo su tutti gli hash delle password sul tuo sistema regolarmente per avere un'idea di quale percentuale delle password dei tuoi utenti non è sicura. Potresti quindi considerare come modificare i criteri della password per ridurre tale proporzione (magari aumentando la lunghezza minima). Potresti preferire contattare gli utenti con password deboli e chiedere loro di cambiarle. Oppure potresti decidere che il problema richiede una sorta di programma di formazione dell'utente per aiutarli a selezionare password più sicure che possano ricordare senza doverle scrivere.

La tua università potrebbe non aver memorizzato la tua password in testo normale. Hanno un modo molto semplice per ottenere il testo in chiaro della tua password e sospetto che possano accedervi almeno un paio di volte al giorno.

Dai loro la tua password come testo in chiaro ogni volta che accedi su.

Se stai accedendo a un'applicazione che ospitano, come un sito per gestire lezioni online o per controllare i tuoi voti, e hanno il codice sorgente per quell'applicazione online, possono banalmente accedere alla tua password in chiaro senza memorizzarla o trasmetterla a un altro sistema, e a quel punto possono verificare la sicurezza della tua password.

Possono anche controllare la sicurezza della password quando effettui l'accesso se stanno utilizzando un servizio di accesso singolo.

Tuttavia, è ancora estremamente rischioso. Contatta il dipartimento IT della tua università e verifica che memorizzi la tua password in modo sicuro. Poni domande mirate su come hanno controllato la tua password.

E il resto dei miei consigli segue i consigli standard per l'autenticazione Internet: non fare clic su alcun collegamento in quell'email; se modifichi la password, fallo normalmente e non tramite un link che ti è stato inviato via email. Utilizzare un gestore di password per archiviare e generare password casuali lunghe. (Idealmente, dovresti conoscere solo 2 delle tue password: quella per accedere al tuo computer e quella per accedere al tuo gestore di password.) Non riutilizzare mai una password per nessuno scopo.

E mentre tu ' stai parlando con il dipartimento IT dell'università, chiedigli informazioni sull'autenticazione a 2 fattori.

Ci sono alcune ipotesi che devono essere fatte qui, ma quello che immagino che la password universitaria a cui ti riferisci sia la password di un account Active Directory. Le password di Active Directory gestiscono le password in un formato hash NTLM, che non sono salate. Con questo in mente, la stessa password in ambienti diversi avrà lo stesso valore hash.

Troy Hunt offre un servizio chiamato Pwned Passwords che consente agli amministratori di scaricare 517 milioni di hash di password. È possibile che il dipartimento IT della tua scuola stia confrontando gli hash delle password nel proprio Active Directory, con gli hash che compaiono molte volte nei dati di cui sopra.

Durante la memorizzazione delle password in testo normale succede di tanto in tanto (principalmente nelle applicazioni web proprietarie), lo scenario di cui sopra sarebbe la mia ipotesi su come hanno determinato che la tua password è debole.

La password che mostrava era una mia vecchia (più debole) password che era semplicemente parole inglesi separate da spazi, il che spiega come sono riusciti a trovarla

Cordiali saluti - no non lo fa. Dipende dalle parole e dal loro numero. Avere alcune parole del dizionario casuali incollate insieme è in realtà una password molto buona.

Avrei dovuto ovviamente collegarmi al relativo xkcd.

Le password non sono archiviate in testo normale e, di norma, dovrebbero essere crittografate e archiviate in qualsiasi modo tecnico. Tuttavia, a causa della conformità della banda di sicurezza, le password possono essere decrittografate utilizzando vari algoritmi tecnici ed eseguire schemi per trovare password deboli. La tua università deve averlo fatto e averti informato.