Juste pour jouer l'avocat du diable ...

Vous êtes aussi susceptible d'être compromis que si vous utilisiez le même mot de passe sur les deux sites *.

Comme la plupart des gens l'ont souligné, vous n'avez probablement pas à vous inquiéter. Pas tellement parce qu'un site Web ne peut pas faire la différence entre un bon ou un mauvais mot de passe, mais plutôt parce que la plupart des sites Web que vous visiterez ne consigneront probablement pas votre mot de passe. La raison est simplement que cela ne leur apporte aucune valeur. La plupart des sites Web sont là pour faire des affaires légitimes et ne voient donc aucune valeur à être malveillant en enregistrant chaque mot de passe entré.

Néanmoins, si j'avais de mauvaises intentions et que je voulais rassembler de nombreux mots de passe possibles, héberger un service en ligne les mots de passe seraient probablement une meilleure alternative que d'essayer de forcer brutalement toutes les combinaisons possibles. Attraper tous les mots de passe, même les mauvais, n'est pas une mauvaise idée si vous hébergez ce genre de «service». Les utilisateurs qui ont plusieurs mots de passe sont très susceptibles d'entrer les mauvais mots de passe sur le mauvais site, par conséquent, consigner les mauvaises tentatives ainsi que les bonnes tentatives est un bon plan d'attaque.

Par exemple, considérez cette citation de https : //howsecureismypassword.net/

Ce site pourrait voler votre mot de passe… ce n'est pas le cas, mais il pourrait facilement l'être.
Faites attention à l'endroit où vous tapez votre mot de passe.

Cela met les choses en perspective. De plus, un tel «service» diabolique est-il si peu probable? C'est difficile à dire, mais ce n'est certainement pas nouveau: https://xkcd.com/792/

Remarque * : Eh bien, j'ai dit "aussi probable" mais ce n'est pas tout à fait vrai. En utilisant le même mot de passe sur de nombreux sites, vous êtes non seulement vulnérable aux sites malveillants, mais également à l'incompétence des propriétaires de sites. De nombreux sites Web stockent toujours votre mot de passe en texte clair dans leur base de données ou utilisent un hachage faible, ce qui signifie que si un attaquant est capable de voler sa base de données, votre mot de passe est compromis.

Vous allez probablement bien - il n'y a pas de distinction particulière entre un mauvais mot de passe pour le bon site et un bon mot de passe pour le mauvais site. Même si c'était le cas, le site qui a reçu le mauvais mot de passe ne saurait pas sur quel site il était censé être utilisé.

Et c'est avant de considérer qu'il serait rare de consigner des mots de passe pour des tentatives de connexion infructueuses .

Il n'y a aucun mal à le modifier, mais à moins que vous n'utilisiez le nom de l'autre site comme mot de passe, il semble peu probable que quiconque puisse utiliser les informations.

Bien que j'imagine que la plupart des développeurs Web sensés ne consigneraient pas les versions en texte clair des tentatives de mot de passe échouées, c'est toujours possible. Si vous voulez être du bon côté, vous pouvez le considérer comme compromis et réinitialiser ce mot de passe; cependant, personnellement, je ne considérerais pas vraiment cela comme un problème à moins que je ne sente au-delà de tout doute raisonnable que le premier site pourrait potentiellement présenter un risque pour moi.

Le seul cas dans lequel je changerais ce mot de passe est si le site qu'il sécurise est sensiblement plus important pour vous que le site sur lequel vous l'avez saisi.

Par exemple, il y a des gens dans le monde qui ont accès à des systèmes qui intéressent les acteurs des États-nations. Si ces personnes devaient saisir leur mot de passe important sur un autre site, elles devraient le changer immédiatement.

Traitez le mot de passe comme compromis . Personne ne peut vous assurer que

• le site n'a aucun administrateur système malveillant.
• le site a des mots de passe hachés ou chiffrés.
• il leur manque des vulnérabilités d'injection SQL qui permet de récupérer des données, y compris les noms d'utilisateur / e-mails / mots de passe.
• toute personne accédant à ces données osera tester l'intrusion dans plusieurs autres sites et vous serez si malchanceux qu'ils toucheront celui-là.

Tant qu'il existe la faible possibilité que tout ou partie de ce qui précède soit vrai, vous avez un mot de passe compromis.

En règle générale, le mot de passe a disparu, c'est le mot de passe néant. Modifiez-le et dormez.

Une autre histoire différente est de savoir si vous voulez réellement perdre votre temps en changeant un mot de passe qui ne protège rien (c'est-à-dire un blog vide, un compte de messagerie inutile, ...) ou votre compte bancaire.

Le terme "compromis" n'est pas un oui ou un non binaire. C'est un concept mesurant qui a accès à un compte et à quel point ses objectifs peuvent être différents des vôtres.

Dans ce cas, supposez que toute personne qui aurait pu avoir accès à des connexions sur www.example.com possède désormais votre mot de passe. Cela inclut toute personne qui a piraté www.example.com et tous les employés en qui la direction de www.example.com aurait confiance avec un accès suffisant pour récolter les mots de passe des utilisateurs (peut-être une poignée de DBA).

Ce sont toutes les données . Allez de là. Si vous avez utilisé un mot de passe utilisé pour protéger des informations classifiées sur un forum, vous devez le traiter immédiatement comme compromis, car ce niveau d'exposition est inacceptable pour un tel compte privilégié. Si vous avez utilisé le mot de passe d'un forum sur un autre, ce n'est probablement pas la plus grosse affaire.

Au milieu, vous pourriez considérer le cas où vous avez utilisé le mot de passe de votre compte bancaire sur un forum. C'est une zone grise qui dépend entièrement de votre modèle de menace personnel.

• Si le site (enfin, la personne derrière) est malveillant, alors il ajoutera le mot de passe ayant échoué à la liste des choses qu'il sait sur vous, et envisagera certainement la tactique de l'essayer sur chaque autre compte qu'il connaît. En tant que tel, vous devez le considérer comme compromis.

• Si le site est incompétent, il pourrait en quelque sorte divulguer votre mot de passe échoué. Mais s'il fait cela, il perdra également beaucoup de légères fautes de frappe de ses propres mots de passe, ce qui est vraiment assez grave pour eux. Donc, il doit être vraiment plutôt incompétent.

• Si le site est fondamentalement normal, tout va bien, il ne conservera aucune trace des mots de passe échoués (ou réussis, d'ailleurs, autre que l'enregistrement haché et salé).

Notez que les sites qui ont eux-mêmes été compromis peuvent raisonnablement être considérés comme malveillants.

Donc, vous devez considérer l'équilibre entre le risque qu'ils soient très malveillants, très incompétents ou très piratés, et le coût associé du mot de passe compromis, contre le coût pour vous de changer ce mot de passe.

Si vous craignez que le risque soit important, modifiez le mot de passe. C'est généralement très facile lorsque vous utilisez un gestionnaire de mots de passe, ce n'est pas comme si vous deviez apprendre le nouveau. Cependant, vos efforts sont très probablement inutiles, car la plupart des sites Web sont "fondamentalement normaux" la plupart du temps.

Vous devez également réfléchir attentivement à ce qui a conduit à l'erreur. Le fait que vous ayez entré vos informations d'identification sur le "mauvais site" est une erreur compréhensible, mais assurez-vous de ne pas systématiquement échouer à vérifier correctement l'identité des sites avant de saisir les informations d'identification, sinon vous êtes vulnérable là-bas.

Si vous avez entré le mot de passe du site Web A dans le site Web B,

Considérez quelques aspects - À quel point le Web B est-il fiable? Web B est-il une société renommée conforme aux normes du marché? Le contenu du Web est-il Est-il possible de deviner à partir du mot de passe à quel site Web appartient-il?

Si vous êtes confus sur l'une de ces questions, changez-le simplement.

Vous ne saurez jamais si WebManager / SysAdmin stocke le mot de passe sous forme de texte brut ou de cryptage décodable sur le serveur, ou s'il le sécurise par un hachage.

Le site sur lequel vous avez tapé le mauvais mot de passe était-il facebook.com?

http://www.businessinsider.com/how-mark-zuckerberg-hacked-into-the-harvard- crimson-2010-3

Mark a utilisé son site, TheFacebook.com, pour rechercher les membres du site qui se sont identifiés comme membres du Crimson. Puis il a examiné un journal des échecs de connexion pour voir si l'un des membres de Crimson avait déjà entré un mot de passe incorrect dans TheFacebook.com. Si les cas dans lesquels ils avaient entré des connexions échouaient, Mark a essayé de les utiliser pour accéder aux comptes de messagerie des membres de Crimson à Harvard. Il a réussi à accéder à deux d'entre eux.

Équipons notre [Tinfoil Hat] légendaire.

Les sites Web peuvent-ils enregistrer mes mots de passe?

Supposons que le site Web ait fait son hachage correctement. Lorsque vous vous connectez à un site Web, ils peuvent prendre votre mot de passe en clair et le comparer au hachage stocké. Si le mot de passe correspond au hachage stocké dans la base de données, il vous permettra de vous authentifier. Sinon, il vous informera que votre mot de passe n'est pas valide.

Et alors?

Eh bien, il se trouve que quiconque avec un minimum de connaissances en programmation pourrait enregistrer des mots de passe invalides en ajoutant une nouvelle ligne à une méthode d'authentification pour tout type du site Web ... même s'il s'agit d'un portail Web open-source populaire, d'un forum ou de tout type de package. Tant que la source peut être modifiée, on peut changer tout ce qu'il veut, comme ceci:

  private void CheckPasswordBeforeHackingMyAOL-CD (string input, string username) {if (IsValid (input) && IsValid (username) && Bcrypt.TestHash (input, Database.GetHashForUser (username)) {AuthenticateMyFace ();} else {Database.LogFailedAttemptDetailsWithParametersBecauseSQLInjectionSucks (username, inputDhat) > > En fait, un programmeur pourrait faire cela  avant  le hachage pour tout ce qui a trait aux mots de passe. Rien n’empêche personne de le faire. 
 
 Gestion des risques 
 
 Voici quelques questions à prendre en compte: 
 
 Vous souciez-vous de l'intégrité de l'un ou l'autre compte? 
 
 Le même e-mail est-il utilisé dans les deux comptes? 
 
 Utilisez-vous le même mot de passe pour l'e-mail et le (s) site (s) Web en question n (j'espère que non)? 
 
 Si oui à 1-3, je vous recommande de changer votre mot de passe. Sauf si vous ne vous en souciez pas. 
 Maintenant que nous avons montré que c'est possible sur tous les fronts, devriez-vous avoir peur d'une telle attaque? Je ne m'en soucierais pas. Si vous êtes inquiet, vous devriez probablement utiliser quelque chose comme  KeePass pour gérer les informations d'identification du site Web afin que vous n'ayez légitimement pas à vous inquiéter.