我能做些什么来提高他们的安全性或完全从他们的系统中删除我的详细信息吗？
更新：感谢大家的建议。我通过电子邮件向他们发送电子邮件，阐明了错误的原因以及原因，并说我将写信给DP专员并将其添加到plaintextoffenders.com。
一个小时后，我得到了答复：自动该消息包含其支持系统的用户名和密码。哦，亲爱的...
#1 楼
除了联系网站并尝试向他们解释并解释以纯文本形式存储（和发送电子邮件）密码是多么糟糕的主意和实践之外，您实际上无能为力。您可以做的是将任何违规站点报告给plaintextoffenders.com-一个站点（当前是tumblr博客，但我们很快会在一个适当的站点上进行工作），其中列出了不同的“纯文本违规者”-向您发送自己密码的网站，因此揭露事实，他们要么将其存储为纯文本格式，要么使用可逆加密（同样糟糕）。
随着索尼发生的一切，人们一次又一次地意识到危险网站存储未加密的敏感详细信息，但仍有许多未加密。报道了300多个站点，每天都有更多报告！
希望，plaintextoffenders.com通过公开越来越多的站点来提供帮助。一旦这在Twitter或其他社交媒体上获得足够的关注，有时网站会改变其方式并解决问题！例如，Smashing Magazine和Pingdom最近更改了处理密码的方式，不再以纯文本形式存储或通过电子邮件发送密码！
问题是意识，我希望我们对这一原因有所帮助与明文违规者。
评论
当我在英国居住时，我是否可以建议他们违反了数据保护法？
–詹姆斯
2011年9月13日19:04
@jamesj：不幸的是，我真的不知道！
–伊加尔·塔巴尼克（Igal Tabachnik）
2011年9月13日19:07
这个网站的好主意！一旦您移至正确的站点（甚至在可能的情况下，甚至在此之前），就可以添加“转化为违法者”的部分。我希望这样的部分不会留空，并且可以激励网站解决问题。
– Joachim Sauer
2011年9月14日下午6:03
@jamesj IANAL，但看起来它可能违反了第七项原则（请参见9a中的“意外损失”）。
– deizel
2011年9月14日在12:08
@jamesj-当然值得让DP专员知道；尝试为他们写一个简短，清晰易懂的字母（在纸上）。不过不要期望太大。 :-(
– DanBeale
2011-09-14 18:47
#2 楼
以纯文本格式存储密码并不是真正的问题-至少比以纯文本电子邮件格式发送该密码要少得多！这封电子邮件仅证明网站管理员对以下内容不是很谨慎您向他们提供的信息，这是不向他们提供更多数据的充分理由。
评论
您能否详细说明为什么这不是问题？我（以及数百万其他人）拥有强大的密码，可用于许多方面。如果每个人都在做他们的工作并进行哈希处理，那么我是否应该担心我的PWD是纯文本格式，以及一个心怀不满的员工看到它并将其用于进入我的许多帐户中的任何一个帐户（我的银行/其他重要密码不同，因此）。但是让任何人都可以看到密码似乎是一个问题，我很好奇为什么您说不是因为您实际上是本地专家:)
–丹·德鲁斯（Dan Drews）
14年4月16日在16:54
就像我说的那样，这比发送电子邮件要少。但这突显了需要特定于站点的密码。我永远不会对两个不同的服务使用相同的密码-您应该执行相同的操作，因为您不知道任何站点的系统管理员的能力如何。他们可能以明文形式存储密码，或者更糟糕的是，通过电子邮件将其发送到验证不充分的地址。
–托马斯·波宁（Thomas Pornin）
14年4月16日在17:13
以明文形式存储密码是一个巨大的问题。 LinkedIn的凭据数据库被盗，超过6,000,000个用户帐户被盗。这些密码甚至都没有以明文形式存储，而是使用SHA-1进行了散列而没有“盐”。然而;我非常同意您的观点，即这种做法意味着您不值得将该网站委托给他们更多数据。
– Craig
15年8月16日在18:21
存储纯文本密码绝对是一个问题。谁知道有多少员工可以访问他们的数据库，而这些日子与滥用所有这些纯文本密码相差一天。该公司不需要知道也不应该知道任何用户密码。期。
–内森·亚当斯（Nathan Adams）
19年5月26日在16:51
#3 楼
为每个站点使用不同的密码。这样，当密码遭到破坏时（无论是通过侦听纯文本电子邮件传输，还是即使破解了具有正确的哈希/盐渍密码的数据库），攻击者将只能在该站点上访问您的帐户，而不能在您拥有相似帐户凭据的所有网站。...因此您不必记住无数的密码：
斯坦福大学的PwdHash是一款便捷的浏览器扩展程序，可自动生成唯一的密码通过对您输入的站点域的通用密码进行哈希处理。
评论
另请参见类似的supergenpass选项：SuperGenPass.com的Bookmarklet密码生成器是否可以安全使用？ - 堆栈溢出
–nealmcb
2011年9月14日在20:04
#4 楼
向他们发送一封电子邮件，要求将其从数据库中删除。不要向他们提供有关您的更多信息
确保不要在任何地方使用该密码。
评论
我感觉任何对安全性如此疏忽的人最多都会将您的数据库条目标记为不活动。我看不出有任何方法可以确保您的纯文本密码不再对所有人开放，并且杂乱无章-最简单的方法可能是侵入并删除它。
–user502
2011-09-13 18:32
可能会更改密码一千次，以防万一密码存储在某个地方以防止“不要重复您的最后三个密码”
–woliveirajr
2011-09-13 18:52
@woliveirajr进行一千次可能会触发DoS保护。
–森林
19年5月24日，0：22
#5 楼
因此，建议在每个站点上使用另一个密码。尝试通过电子邮件将其删除以删除您的帐户。否则，请勿使用该站点，而实际上，请在您要注册的每个站点上使用/生成另一个密码（而且很长！）。您永远不会知道哪个将普通密码存储到其数据库中
评论
+1用于在每个站点上推荐唯一的密码。
– Mox
2011年9月15日，下午1:25
#6 楼
我要说的是，由于该密码可供全世界使用，因此只需将其更新为您在其他任何地方都没有使用过的密码即可。因此，没有人可以使用该站点上的密码在任何其他站点上入侵您的信息。例如，如果您的电子邮件是您的登录名，并且您正在使用此站点上的密码作为电子邮件的密码。除此之外，如果您想提供帮助以帮助网站存储密码并有效地向他们发送此stackoverflow线程的链接。
#7 楼
如果它以纯文本形式传输密码，则这是一个“漏洞”。第一步是找到证明，例如通过运行Wireshark来捕获通过网络发送的密码。 />
第二步是与公司联系，例如通过将电子邮件发送到“ secure@example.com”。电子邮件地址“ secure @”和“ security @”是公司为此类发现而担心的电子邮件信箱。
保存从公司获得的答复。
如果公司显然不打算对其进行修复，则将消息发布到“全披露”邮件列表中。简明扼要地描述问题，显示证据并显示响应。
将电子邮件帖子阅读到全披露列表中，以了解其他人如何做到这一点。
评论
“第一步是寻找证明，例如通过运行Wireshark来捕获在网络上发送的密码。” -不会证明任何事情。要注册并登录，您显然必须将纯文本密码发送到他们的服务器。服务器还可以如何处理密码并对您进行身份验证？真正的问题是密码以明文形式存储在数据库中。
–slhck
15年4月13日在12:08
同样，该站点可能运行在https上，因此您需要MITM连接以嗅探并捕获登录凭据
–与莫妮卡（Monica）在一起
19年5月24日，9：45
#8 楼
如果您需要安全的系统，请不要使用它来证明自己是不安全的。
请与负责开发该系统的公司/所有者联系，并分享有关其不安全性的证明。
如果您会从公司/所有者那里得到不利的答复，这意味着他们不愿意为确保您满意而改正该系统，请转到另一个系统。
#9 楼
处理该系统的最佳做法是什么：不要将该系统与敏感信息一起使用。请考虑一下，如果数据泄漏或有人通过您的登录名开始使用该系统，将会给您带来什么问题。如果情况不容乐观，请停止使用该系统。
[最佳交易做法]和该系统的所有者：
使用电子邮件和其他任何方式注册您的不满意联系方式：客户支持，电话，联系电子邮件，论坛，博客，Wiki ...
，同时通过使用该系统来最大程度地降低自己的风险：您认为无论如何都将使用该系统，然后不要对该系统和任何其他系统使用相同的密码。如果您不能使用电子邮件登录，甚至更好。
或报告相关问题？
其他答案也告诉您：注册所有投诉，停止使用它。
#10 楼
已经建议更改密码。将其更改为“您不能将密码以纯文本格式存储，各位，嗨！”然后通过电子邮件发送给他们，要求删除您的帐户并删除所有个人数据可能会帮助您听到消息。除此之外，纯文本密码也不是什么大问题，因为即使是哈希密码如今，可以在合理的时间内对数据库进行蛮力攻击，尤其是在散列数据不包含任何盐的情况下。
#11 楼
存储纯文本密码没有错。实际上，从某些方面来说，这是最好的解决方案。[not]以明文形式存储密码会限制通信的安全性。
通过网络发送加密的密码更加安全，并且将密码以明文形式存储在数据库中，而不是通过网络将密码以明文形式发送并以加密方式存储在数据库中。
换句话说，服务器需要知道用户密码以支持最安全的身份验证机制。
来源：ejabberd书，该章将密码以明文形式存储在数据库中以确保安全性（链接）
评论
如果这是特定于产品的，答案应该是这样。否则，这是一个危险且令人误解的答案。将其存储为纯文本永远比哈希存储安全。通常，解决产品的局限性并不是更安全。
–克里斯·穆雷（Chris Murray）
2014年12月8日17:22
此外，写那本“书”（而不是网站上的常见问题）的人似乎并不了解安全性，也不了解哈希密码的重要性。没有能力的程序员（了解安全性）不会提倡使用纯文本或密码的加密存储。
–克里斯·穆雷（Chris Murray）
2014年12月8日在17:26
为了正确理解哈希，请在此处阅读Thomas Pornin的出色答案
–克里斯·穆雷（Chris Murray）
2014年12月9日12:22
只要有足够的技巧和时间，就可以选择任何锁。我们不应该麻烦锁门吗？
–克里斯·穆雷（Chris Murray）
2014年12月9日下午13:57
如果您认为哈希是“本质上的混淆”，则您不了解哈希。您不能反转哈希函数。是的，值得将时间花在应用程序中最关键的漏洞上，但这并不意味着您可以忽略所有其他失败情况。以纯文本格式存储密码永远比散列存储密码更好，并且您没有给出相反的示例。
–克里斯·穆雷（Chris Murray）
2014年12月9日14:33
评论
对于增加的奖励积分，当系统所有者声称/声明这样做是行业标准时该怎么办？只是不要在未知（任何）网站上使用您喜欢的密码tyrFTgjh432＃@@。他们无法以纯文本形式发送您的密码，但仍以纯文本形式存储您的密码（查看，出售...）。
相关：security.stackexchange.com/questions/4997/…
有点晚了，但这很相关：troyhunt.com/2012/07/lessons-in-website-security-anti.html
这也有点晚了，但可能会为社区做出一些贡献。 pogsdotnet.blogspot.sg/2017/06/…