Password Management

El almacenamiento de una contraseña con texto sin formato puede poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo: el siguiente código lee una contraseña de un archivo de propiedades y utiliza la contraseña para establecer las credenciales de autenticación predeterminadas para las solicitudes de URL.

...
var fs:FileStream = new FileStream();
fs.open(new File("config.properties"), FileMode.READ);
var password:String = fs.readMultiByte(fs.bytesAvailable, File.systemCharset);

URLRequestDefaults.setLoginCredentialsForHost(hostname, usr, password);
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a config.properties puede leer el valor de password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña de texto sin formato podría poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se almacena sin cifrar en los archivos de configuración de una aplicación u otro almacén de datos.
Ejemplo: el siguiente código lee una contraseña del Registro y la utiliza para crear una nueva credencial de red.

...
string password = regKey.GetValue(passKey).ToString());
NetworkCredential netCred =
           new NetworkCredential(username,password,domain);
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a la clave del registro utilizada para almacenar la contraseña puede leer el valor de password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña de texto sin formato podría poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se almacena sin cifrar en los archivos de configuración de una aplicación u otro almacén de datos.
Ejemplo: el código siguiente lee una contraseña en el registro y la utiliza para conectarse a una base de datos.

...
RegQueryValueEx(hkey,TEXT(.SQLPWD.),NULL,
                NULL,(LPBYTE)password, &size);
rc = SQLConnect(*hdbc, server, SQL_NTS, uid,
                SQL_NTS, password, SQL_NTS);
...

Este código se ejecutará correctamente, pero cualquier usuario con acceso a la llave de registro usada para almacenar la contraseña podrá leer el valor de password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña con texto sin formato puede poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo: el siguiente código lee una contraseña de un archivo de propiedades y utiliza la contraseña para conectarse a una base de datos.

...
01  RECORD.
     05  UID              PIC X(10).
     05  CONTRASEÑA         IMAGEN X(10).
...
EXEC CICS
  READ
  FILE('CFG')
  INTO(RECORD)
  RIDFLD(ACCTNO)
  ...
END-EXEC.

EXEC SQL
  CONNECT :UID
  IDENTIFICADO POR :CONTRASEÑA
  AT :MYCONN
  USING :MYSERVER
END-EXEC.
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a CFG puede leer el valor de la contraseña. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña de texto sin formato podría poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando un usuario ha aceptado una contraseña o se ha almacenado como texto sin formato en los archivos de configuración o en la base de datos de una aplicación.
Ejemplo: el siguiente código lee una contraseña de un formulario web y utiliza la contraseña para conectarse a una base de datos.

<cfquery name = "GetCredentials" dataSource = "master">
SELECT   Username, Password
FROM     Credentials
WHERE    DataSource="users"
</cfquery>
...
<cfquery name = "GetSSNs" dataSource = "users"
 username = "#Username#" password = "#Password#">
SELECT   SSN
FROM     Users
</cfquery>
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a la tabla master puede leer el valor de Username y Password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña con texto sin formato puede poner el sistema en peligro.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo 1: El siguiente código lee una contraseña de un archivo de JSON y la utiliza para establecer el encabezado de autorización de la solicitud:

...
file, _ := os.Open("config.json")
decoder := json.NewDecoder(file)
decoder.Decode(&values)

request.SetBasicAuth(values.Username, values.Password)
...

Este código se ejecutará correctamente, pero cualquier usuario con acceso a config.json podrá leer el valor de values.Password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña con texto sin formato puede poner en peligro al sistema.

Los problemas de administración de contraseñas surgen cuando una contraseña se almacena con texto sin formato en una aplicación.
Ejemplo: el siguiente código utiliza una contraseña integrada en el código que conecta con una aplicación y recupera entradas de una libreta de direcciones:

    ...
    obj = new XMLHttpRequest();
    obj.open('GET','/fetchusers.jsp?id='+form.id.value,'true','scott','tiger');
    ...

Este código se ejecutará correctamente, pero cualquier persona que acceda a la página web que lo contiene puede ver la contraseña.

El almacenamiento de una contraseña con texto sin formato puede poner en peligro el sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo: El código siguiente lee una contraseña de un archivo plist y la utiliza para descomprimir un archivo protegido con contraseña.

...
NSDictionary *dict= [NSDictionary dictionaryWithContentsOfFile:[[NSBundle mainBundle] pathForResource:@"Config" ofType:@"plist"]];
NSString *password = [dict valueForKey:@"password"];
[SSZipArchive unzipFileAtPath:zipPath toDestination:destPath overwrite:TRUE password:password error:&error];
...

En el entorno móvil, la administración de contraseñas es especialmente importante, puesto que hay altas posibilidades de perder un dispositivo.

El almacenamiento de una contraseña con texto sin formato puede poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo: el siguiente código lee una contraseña de un archivo de propiedades y utiliza la contraseña para conectarse a una base de datos.

...
$props = file('config.properties', FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
$password = $props[0];

$link = mysql_connect($url, $usr, $password);
if (!$link) {
    die('Could not connect: ' . mysql_error());
}
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a config.properties puede leer el valor de password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

La codificación o el almacenamiento de una contraseña como texto sin formato podría poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha codificado o almacenado como texto sin formato en los archivos de configuración de una aplicación o en otro almacén de datos. Nunca es una buena idea codificar una contraseña. Codificar una contraseña no solo permite a todos los desarrolladores del proyecto ver la contraseña, sino que también hace que sea extremadamente difícil solucionar el problema. Una vez que el código está en producción, la contraseña no se puede cambiar sin aplicar revisiones al software. Si se pone en peligro la cuenta protegida por la contraseña, los propietarios del sistema deberán elegir entre la seguridad y la disponibilidad.
Ejemplo: el siguiente código autentica al usuario mediante la lectura de la contraseña que ha utilizado el usuario para iniciar sesión en el servidor de base de datos y la comparación con un valor esperado.

...
ip_address := OWA_SEC.get_client_ip;
IF ((OWA_SEC.get_user_id = 'scott') AND
    (OWA_SEC.get_password = 'tiger') AND
    (ip_address(1) = 144) and (ip_address(2) = 25)) THEN
        RETURN TRUE;
ELSE
        RETURN FALSE;
END IF;
...

Este código se ejecutará correctamente, pero cualquiera que tenga acceso a este tendrá acceso a la contraseña. Una vez que se haya distribuido el programa, no se podrá cambiar el usuario de base de datos "scott" con la contraseña "tiger", a menos que el programa tenga instaladas las revisiones. Un empleado con acceso a esta información podría utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña con texto sin formato puede poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo: el siguiente código lee una contraseña de un archivo de propiedades y utiliza la contraseña para conectarse a una base de datos.

...
props = os.open('config.properties')
password = props[0]

link = MySQLdb.connect (host = "localhost",
                           user = "testuser",
                           passwd = password,
                           db = "test")
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a config.properties puede leer el valor de password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña de texto sin formato podría poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se almacena sin cifrar en los archivos de configuración de una aplicación u otro almacén de datos.
Ejemplo: El código siguiente lee una contraseña en una variable de entorno y la utiliza para conectarse a una base de datos.

require 'pg'
...
passwd = ENV['PASSWD']
...
conn = PG::Connection.new(:dbname => "myApp_production", :user => username, :password => passwd, :sslmode => 'require')

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a la variable de entorno utilizada para almacenar la contraseña puede leer el valor de PASSWD. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña con texto sin formato puede poner el sistema en peligro.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo 1: El siguiente código lee una contraseña de un archivo de propiedades y utiliza la contraseña para conectarse a una base de datos.

...
val prop = new Properties()
prop.load(new FileInputStream("config.properties"))
val password = prop.getProperty("password")

DriverManager.getConnection(url, usr, password)
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a config.properties puede leer el valor de password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.

El almacenamiento de una contraseña con texto sin formato puede poner en peligro el sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo 1: El código siguiente lee una contraseña de un archivo plist y la utiliza para descomprimir un archivo protegido con contraseña.

...
var myDict: NSDictionary?
if let path = NSBundle.mainBundle().pathForResource("Config", ofType: "plist") {
    myDict = NSDictionary(contentsOfFile: path)
}
if let dict = myDict {
    zipArchive.unzipOpenFile(zipPath, password:dict["password"])
}
...

En el entorno móvil, la administración de contraseñas es especialmente importante, puesto que hay altas posibilidades de perder un dispositivo.

El almacenamiento de una contraseña de texto sin formato podría poner en peligro al sistema.

Los problemas de administración de contraseñas se producen cuando una contraseña se ha almacenado como texto sin formato en las propiedades o en el archivo de configuración de una aplicación.
Ejemplo: el siguiente código lee una contraseña de un archivo de propiedades y utiliza la contraseña para conectarse a una base de datos.

...
Private Declare Function GetPrivateProfileString _
  Lib "kernel32" Alias "GetPrivateProfileStringA" _
  (ByVal lpApplicationName As String, _
  ByVal lpKeyName As Any, ByVal lpDefault As String, _
  ByVal lpReturnedString As String, ByVal nSize As Long, _
  ByVal lpFileName As String) As Long
...
Dim password As String
...
password = GetPrivateProfileString("MyApp", "Password", _
  "", value, Len(value), _
   App.Path & "\" & "Config.ini")
...
con.ConnectionString = "Driver={Microsoft ODBC for Oracle};Server=OracleServer.world;Uid=scott;Passwd=" & password &";"
...

Este código se ejecutará correctamente, pero cualquier usuario que tenga acceso a config.properties puede leer el valor de password. Un empleado malintencionado con acceso a esta información puede utilizarla para irrumpir en el sistema.