Non, ce n'est pas une bonne pratique. Il y a deux problèmes distincts.

• crypter le mot de passe au lieu de le hacher est une mauvaise idée et limite le stockage des mots de passe en texte brut. L'idée même des fonctions de hachage lent est de contrecarrer l'exfiltration de la base de données utilisateur. En règle générale, on peut s'attendre à ce qu'un attaquant qui a déjà accès à la base de données ait également accès à la clé de chiffrement si l'application Web y a accès.

  Il s'agit donc d'un texte brut à la limite; J'ai presque voté pour clôturer ceci comme un double de cette question, car c'est presque la même chose et la réponse liée s'applique presque directement, en particulier la partie concernant les contrevenants en texte brut; il existe également une autre réponse concernant les contrevenants en texte brut.

• envoyer le mot de passe en texte brut par e-mail en texte brut est une mauvaise idée. Ils pourraient faire valoir qu’il n’y a aucune différence en l’absence de réutilisation de mot de passe, mais je doute qu’ils sachent même ce que c’est et pourquoi il s’agit d’une mauvaise pratique. De plus, la réutilisation des mots de passe est si courante que ce ne serait pas une bonne réponse.

De plus, comme ils semblent travailler sur la deuxième partie (même si les liens de réinitialisation de mot de passe en texte brut, les e-mails sont dans le même sens, c'est-à-dire qu'une menace qui peut lire le mot de passe du courrier en texte brut peut également lire le lien, peut-être avant que vous le puissiez), vous pouvez leur expliquer le problème de ne pas hacher de ma réponse, ressentez également libre de lier cette réponse directement.

Peut-être même expliquer que le chiffrement est un moyen, mais qu'il peut toujours être inversé par la fonction inverse du système de chiffrement en question, bien nommé déchiffrement. L'utilisation de termes tels que «cryptage unidirectionnel» et «cryptage bidirectionnel» plutôt que «hachage» et «cryptage» montre un manque de compréhension.

Le vrai problème est que la mise en œuvre d'une réinitialisation de mot de passe ne signifie pas qu'elle aura un hachage (correctement) à l'avenir; vous ne pouvez pas faire grand-chose à ce sujet si ce n'est d'utiliser un gestionnaire de mots de passe et de créer une phrase de passe longue et forte qui est unique pour ce site et espère que tout ira pour le mieux.

Ceci est particulièrement vrai car ils semblent vouloir gardez la partie de leur système qui indique votre mot de passe au personnel (pour absolument aucune bonne raison). L'implication étant qu'ils ne continuent pas de hacher correctement - ils disent que le personnel ne peut voir le mot de passe que pendant ces trois délais de connexion n'est pas vrai; si l'application Web peut accéder à la clé, le personnel administratif le peut également. Peut-être plus le personnel du service client, mais ils ne devraient pas pouvoir le voir en premier lieu. C'est une conception horriblement mauvaise.

En fonction de votre emplacement, les écoles faisant partie du secteur public ont l'obligation d'avoir un RSSI que vous pouvez contacter directement, exprimant vos préoccupations. Et comme d'habitude dans le secteur public, il devrait y avoir une organisation qui supervise l'école; ils devraient avoir au moins un RSSI, qui pourrait être très intéressé par cette procédure.

Tout le monde se concentre sur le chiffrement par rapport au hachage mais, bien que ce soit mauvais en soi, je trouve ce qui suit plus flagrant:

Pour des raisons de support, le mot de passe parent est visible par certains membres du personnel jusqu'à ce que le parent se soit connecté 3 fois avec succès.

Vous devez interpréter cela comme "le personnel informatique connaît mon mot de passe". Ils ont ouvertement admis que certains membres de leur personnel peuvent connaître votre mot de passe. C'est au-delà du mal. Je suppose que ce compteur est réinitialisé après avoir changé votre mot de passe, donc utiliser un mot de passe factice trois fois, puis le changer en un mot de passe «réel» ne fera rien. Ne mettez rien sur cette plate-forme dont vous ne voulez pas que le public soit rendu public, et si vous avez utilisé le même mot de passe sur d'autres sites, modifiez-les.

Non, comme vous l'avez bien supposé, ce comportement n'est clairement pas sécurisé.

Ce que vous pouvez et devez faire, c'est ne pas faire confiance à leur système. N'utilisez pas de mot de passe sur le système scolaire qui ressemble à vos mots de passe bancaires ou autres. Ne donnez pas plus d'informations que ce qui est absolument nécessaire pour que votre enfant poursuive ses études. Si votre enfant ramène à la maison une note disant «Connectez-vous et mettez à jour vos informations», ne mettez rien qui vous gêne de le révéler.

Au moins, leur scénario «dans le futur» semble être le cas mettre en œuvre le comportement dont ils ont besoin pour prendre en charge les mots de passe hachés en toute sécurité; si oui ou non ils hacheront réellement les mots de passe en toute sécurité (après trois connexions) au lieu de les crypter sera une autre question. Et vous ne pourrez pas répondre à cette question par l'observation. Si vous êtes toujours inquiet, vous pouvez contacter l'éditeur du logiciel et lui demander comment cela fonctionne.

1. Vous ne devez pas supposer que votre mot de passe est sécurisé. Il y a une raison pour laquelle les gestionnaires de mots de passe sont la solution recommandée

   La réalité est qu'en essayant de gérer vous-même tous ces mots de passe, vous commettrez le péché cardinal de réutiliser certains. C'est en fait beaucoup plus risqué que d'utiliser un gestionnaire de mots de passe. Si un seul site qui utilise ce mot de passe tombe, chaque compte qui l'utilise est compromis. Vous devrez vous souvenir de tous les sites sur lesquels vous avez réutilisé ce mot de passe, puis les modifier tous.

2. La méthode recommandée pour effectuer une réinitialisation est de générer une clé unique permettant à un utilisateur d'effectuer sa propre réinitialisation sur un site Web sécurisé TLS . Le courrier électronique, même avec TLS activé, reste intrinsèquement non sécurisé

   Bien que TLS et SSL constituent sans aucun doute une base vitale pour l'approche de toute entreprise en matière de sécurité des données, il existe encore des preuves pour suggérer qu'il s'agit d'un système qui comporte un certain nombre de vulnérabilités potentielles.

   Le principal point de faiblesse provient du manque de compréhension de la part des entreprises sur la façon de crypter les e-mails, beaucoup croyant au canal de transport et donc l'e-mail, pour être entièrement sécurisé avec l'utilisation de TLS.

3. Le hachage est fondamentalement différent du chiffrement. Ceci a été bien exploré sur Stack Overflow

   [Les fonctions de chiffrement] fournissent un mappage 1: 1 entre une entrée et une sortie de longueur arbitraire. Et ils sont toujours réversibles .

   Comme SmokeDispenser l'a noté, s'ils peuvent obtenir votre base de données, ils peuvent obtenir la clé de chiffrement. En quoi cela diffère-t-il du hachage? Les hachages sont toujours à sens unique . Les données entrent et ne sortent jamais. En d'autres termes, il n'y a pas de clé à voler.

   Utilisez une fonction de hachage lorsque vous vérifiez la validité des données d'entrée. C'est pour cela qu'ils sont conçus. Si vous avez 2 éléments d'entrée et que vous souhaitez vérifier s'ils sont identiques, exécutez les deux via une fonction de hachage. La probabilité d'une collision est astronomiquement faible pour les petites tailles d'entrée (en supposant une bonne fonction de hachage). C'est pourquoi il est recommandé pour les mots de passe.

   En d'autres termes, vous stockez votre mot de passe sur mon site. Je le hache avec une chaîne aléatoire (appelée sel) encore et encore avec quelque chose de lent (comme bcrypt). Pour vous valider, vous saisissez à nouveau votre mot de passe et je le lave avec le même hachage. Avec le même algorithme (plus le nombre de fois où je l'ai parcouru, appelé coût), sel et mot de passe, je devrais obtenir le même hachage que j'ai stocké. Ainsi, je n'ai pas besoin de stocker un mot de passe chiffré réversible ou non chiffré.

Par définition, si un mot de passe est stocké par quelqu'un d'autre que vous, il ne l'est pas de manière sécurisée. Il n'est jamais nécessaire de stocker votre mot de passe.

Si le personnel informatique a une raison légitime d'accéder à votre compte sans que vous fournissiez le mot de passe, il n'a pas besoin que votre mot de passe soit stocké quelque part. Ils peuvent effectuer une réinitialisation de mot de passe, accéder à votre compte, remplacer votre mot de passe par l'original. Le tout sans jamais connaître votre mot de passe.

S'ils peuvent vous envoyer votre mot de passe, ils peuvent l'envoyer à quelqu'un qui se fait passer pour vous. Ce n'est donc pas sécurisé.

PS. Ils n'ont absolument pas besoin de stocker le mot de passe pour l'authentification. Ils peuvent stocker un hachage salé, à partir duquel la récupération du mot de passe est impossible. C'est la pratique courante. Comment peuvent-ils l'envoyer à quelqu'un qui se fait passer pour vous? Cela s'appelle l'ingénierie sociale. Quelqu'un appelle, le convainc que c'est vous et que votre adresse e-mail a changé, et il envoie le mot de passe à la mauvaise personne.