No, questa non è una buona pratica. Ci sono due problemi distinti.

• crittografare la password invece di hashing è una cattiva idea ed è al limite l'archiviazione di password in testo normale. L'intera idea delle funzioni hash lente è contrastare l'esfiltrazione del database utente. In genere, ci si può aspettare che un utente malintenzionato che ha già accesso al database abbia anche accesso alla chiave di crittografia se l'applicazione Web vi ha accesso.

  Quindi, questo è un testo in chiaro al limite; Ho quasi votato per chiuderla come un duplicato di questa domanda, perché è quasi la stessa e la risposta collegata si applica quasi direttamente, specialmente la parte sui trasgressori del testo in chiaro; c'è anche un'altra risposta sui trasgressori di testo in chiaro.

• inviare la password in testo semplice tramite e-mail in testo semplice è una cattiva idea. Potrebbero sostenere che non c'è differenza quando non viene riutilizzato la password, ma dubito che sappiano anche di cosa si tratta e perché è considerata una cattiva pratica. Inoltre, il riutilizzo della password è così comune che non sarebbe una buona risposta.

Inoltre, poiché sembrano funzionare nella seconda parte (anche se i link per la reimpostazione della password in testo normale le e-mail sono nello stesso campo di baseball, ovvero una minaccia che può leggere la password dalla posta in testo normale può anche leggere il collegamento, forse prima che tu possa), potresti spiegare loro il problema di non hashing dalla mia risposta, anche sentire libero di collegare questa risposta direttamente.

Forse anche spiegare che la crittografia è un modo, ma può sempre essere invertita dalla funzione inversa del sistema crittografico in questione, giustamente chiamata decrittazione. L'utilizzo di termini come "crittografia unidirezionale" e "crittografia bidirezionale" anziché "hashing" e "crittografia" mostra una mancanza di comprensione.

Il vero problema è: l'implementazione di una reimpostazione della password non significa che in futuro verranno hash (correttamente); non c'è molto che tu possa fare al riguardo se non usare un gestore di password e creare una passphrase lunga e sicura che sia unica per questo sito e sperare per il meglio.

Ciò è particolarmente vero poiché sembrano volerlo conserva la parte del loro sistema che dice al personale la tua password (per nessuna buona ragione). L'implicazione è che continuano a non eseguire l'hashing correttamente - dicono che il personale può vedere la password solo in quel periodo di tre login non è vero; se l'app web può accedere alla chiave, può farlo anche il personale amministrativo. Forse non è più il personale dell'assistenza clienti, ma non dovrebbero essere in grado di vederlo in primo luogo. Questo è un design orribilmente pessimo.

A seconda della tua posizione, le scuole come parte del settore pubblico hanno l'obbligo di avere un CISO che puoi contattare direttamente, esprimendo le tue preoccupazioni. E come al solito nel settore pubblico, dovrebbe esserci un'organizzazione che supervisiona la scuola; dovrebbero avere almeno un CISO, che potrebbe essere piuttosto interessato a questo procedimento.

Tutti si stanno concentrando sulla crittografia e sull'hashing ma, sebbene ciò sia un male di per sé, trovo quanto segue più eclatante:

Per motivi di supporto, la password genitore è visibile a determinati membri del personale fino a quando il genitore non si è registrato correttamente per 3 volte.

Dovresti interpretarlo come "lo staff IT conosce la mia password". Hanno ammesso apertamente che alcuni membri del loro staff possono conoscere la tua password. Questo è oltre il male. Presumo che questo contatore venga reimpostato dopo aver modificato la password, quindi utilizzare una password fittizia tre volte e quindi cambiarla in una password "reale" non farà nulla. Non inserire nulla su quella piattaforma che non desideri venga reso noto pubblicamente e se hai utilizzato la stessa password su altri siti, modificali.

No, come hai correttamente supposto, questo comportamento non è chiaramente sicuro.

Quello che puoi e dovresti fare è non fidarti del loro sistema. Non utilizzare una password sul sistema scolastico che sia qualcosa di simile alla tua banca o altre password. Non inserire più informazioni di quelle assolutamente necessarie per portare tuo figlio a scuola. Se tuo figlio porta a casa una nota che dice "accedi e aggiorna le tue informazioni", non inserire nulla che ti senti a disagio nel rivelare.

Almeno il loro scenario del "futuro" suona come lo sono implementare il comportamento di cui hanno bisogno per supportare password con hash in modo sicuro; se eseguiranno o meno l'hash delle password in modo sicuro (dopo tre accessi) invece di crittografarle sarà una domanda diversa. E non sarai in grado di rispondere a questa domanda con l'osservazione. Se sei ancora preoccupato, puoi contattare il fornitore del software e chiedere loro come funziona.

1. Non dovresti presumere che la tua password sia mai sicura. C'è un motivo per cui i gestori di password sono la strada consigliata

   La realtà è che nei tuoi tentativi di gestire da solo tutte quelle password, commetterai il peccato cardinale di riutilizzando alcuni. In realtà è molto più rischioso rispetto all'utilizzo di un gestore di password. Se un singolo sito che utilizza questa password cade, ogni account che la utilizza viene compromesso. Dovrai ricordare tutti i siti in cui hai riutilizzato quella password e poi cambiarli tutti.

2. Il modo consigliato per eseguire un ripristino è generare una chiave univoca per consentire a un utente di eseguire il ripristino su un sito Web protetto da TLS . La posta elettronica, anche con TLS abilitato, è ancora intrinsecamente insicura

   Sebbene TLS e SSL costituiscano indubbiamente una base vitale per l'approccio di qualsiasi azienda alla sicurezza dei dati, ci sono ancora alcune prove suggerire che si tratta di un sistema che porta con sé una serie di potenziali vulnerabilità.

   Il principale punto di debolezza deriva dalla mancanza di comprensione da parte delle aziende su come crittografare le e-mail, molte delle quali credono che il canale di trasporto, e quindi l'e-mail, da proteggere completamente con l'uso di TLS.

3. L'hashing è fondamentalmente diverso dalla crittografia. Questo è stato ben esplorato su Stack Overflow

   [Le funzioni di crittografia] forniscono una mappatura 1: 1 tra un input e un output di lunghezza arbitraria. E sono sempre reversibili .

   Come ha notato SmokeDispenser, se possono ottenere il tuo database, possono ottenere la chiave di crittografia. In cosa differisce dall'hashing? Gli hash sono sempre unidirezionali . I dati entrano e non escono mai. In altre parole, non ci sono chiavi da rubare.

   Utilizza una funzione hash quando controlli la validità dei dati di input. Questo è ciò per cui sono progettati. Se hai 2 input e vuoi controllare se sono uguali, esegui entrambi tramite una funzione hash. La probabilità di una collisione è astronomicamente bassa per input di piccole dimensioni (assumendo una buona funzione hash). Ecco perché è consigliato per le password.

   In altre parole, memorizzi la tua password sul mio sito. L'ho hash con una stringa casuale (chiamata salt) più e più volte con qualcosa di lento (come bcrypt). Per convalidarti, inserisci di nuovo la tua password e io la lavo attraverso lo stesso hash. Con lo stesso algoritmo (più comunque molte volte l'ho eseguito, chiamato costo), salt e password, dovrei ottenere lo stesso hash che ho memorizzato. Pertanto, non ho bisogno di memorizzare una password crittografata reversibile o una password non crittografata.

Per definizione, se una password viene memorizzata da qualcuno diverso da te, non viene memorizzata in modo sicuro. Non è mai necessario memorizzare la password.

Se il personale IT ha una ragione legittima per accedere al tuo account senza che tu fornisca la password, non ha bisogno che la tua password sia memorizzata da qualche parte. Possono reimpostare la password, accedere al tuo account, sostituire la tua password con l'originale. Il tutto senza mai conoscere la tua password.

Se possono inviarti la tua password, possono inviarla a qualcuno che finge di essere te. Quindi non è sicuro.

PS. Non è assolutamente necessario memorizzare la password per l'autenticazione. Possono memorizzare un hash salato, dal quale è impossibile recuperare la password. Questa è la pratica standard. Come possono inviarlo a qualcuno che finge di essere te? Si chiama ingegneria sociale. Qualcuno chiama, li convince che sei tu e che il tuo indirizzo email è cambiato e invia la password alla persona sbagliata.