Password Management

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo de propriedades e a utiliza para definir credenciais de autenticação padrão para solicitações de URL.

...
var fs:FileStream = new FileStream();
fs.open(new File("config.properties"), FileMode.READ);
var password:String = fs.readMultiByte(fs.bytesAvailable, File.systemCharset);

URLRequestDefaults.setLoginCredentialsForHost(hostname, usr, password);
...

Esse código será executado com êxito, mas qualquer pessoa com acesso a config.properties poderá ler o valor de password. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação nos arquivos de configuração ou em outro repositório de dados de um aplicativo.
Exemplo 1: O código a seguir lê uma senha do registro e a utiliza para criar uma nova credencial de senha.

...
string password = regKey.GetValue(passKey).ToString());
NetworkCredential netCred =
           new NetworkCredential(username,password,domain);
...

Esse código será executado com êxito, mas qualquer usuário que tenha acesso à chave do registro usada para armazenar a senha poderá ler o valor de password. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação nos arquivos de configuração ou em outro repositório de dados de um aplicativo.
Exemplo 1: O código a seguir lê uma senha do registro e a utiliza para se conectar a um banco de dados.

...
RegQueryValueEx(hkey,TEXT(.SQLPWD.),NULL,
                NULL,(LPBYTE)password, &size);
rc = SQLConnect(*hdbc, server, SQL_NTS, uid,
                SQL_NTS, password, SQL_NTS);
...

Este código será executado com êxito, mas qualquer pessoa que tenha acesso à chave do Registro usada para armazenar a senha poderá ler o valor de password. Qualquer funcionário desonesto com acesso a essas informações pode usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo de propriedades e a usa para se conectar a um banco de dados.

...
01  RECORD.
     05  UID              PIC X(10).
     05  PASSWORD         PIC X(10).
...
EXEC CICS
  READ
  FILE('CFG')
  INTO(RECORD)
  RIDFLD(ACCTNO)
  ...
END-EXEC.

EXEC SQL
  CONNECT :UID
  IDENTIFIED BY :PASSWORD
  AT :MYCONN
  USING :MYSERVER
END-EXEC.
...

Esse código será executado com êxito, mas qualquer pessoa com acesso a CFG pode ler o valor da senha. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é aceita de um usuário ou é armazenada em texto sem formatação nos arquivos de configuração ou no banco de dados de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um formulário da Web e a utiliza para se conectar a um banco de dados.

<cfquery name = "GetCredentials" dataSource = "master">
SELECT   Username, Password
FROM     Credentials
WHERE    DataSource="users"
</cfquery>
...
<cfquery name = "GetSSNs" dataSource = "users"
 username = "#Username#" password = "#Password#">
SELECT   SSN
FROM     Users
</cfquery>
...

Esse código será executado com êxito, mas qualquer usuário que tiver acesso à tabela master poderá ler o valor de Username e Password. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O seguinte código lê uma senha de um arquivo JSON e a usa para definir o cabeçalho de autorização da solicitação:

...
file, _ := os.Open("config.json")
decoder := json.NewDecoder(file)
decoder.Decode(&values)

request.SetBasicAuth(values.Username, values.Password)
...

Esse código será executado com êxito, mas qualquer pessoa com acesso a config.json poderá ler o valor de values.Password. Qualquer funcionário desonesto com acesso a essas informações pode usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Os problemas de gerenciamento ocorrem quando uma senha é armazenada em texto simples em um aplicativo.
Exemplo 1: O código a seguir usa uma senha codificada para se conectar a um aplicativo e recuperar as entradas do catálogo de endereços:

    ...
    obj = new XMLHttpRequest();
    obj.open('GET','/fetchusers.jsp?id='+form.id.value,'true','scott','tiger');
    ...

Este código será executado com sucesso, mas qualquer pessoa que acessar a página da Web que o contém poderá visualizar a senha.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo plist e a usa para descompactar um arquivo protegido por senha.

...
NSDictionary *dict= [NSDictionary dictionaryWithContentsOfFile:[[NSBundle mainBundle] pathForResource:@"Config" ofType:@"plist"]];
NSString *password = [dict valueForKey:@"password"];
[SSZipArchive unzipFileAtPath:zipPath toDestination:destPath overwrite:TRUE password:password error:&error];
...

No ambiente móvel, o gerenciamento de senhas é especialmente importante, pois há uma grande chance de perda do dispositivo.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo de propriedades e a usa para se conectar a um banco de dados.

...
$props = file('config.properties', FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
$password = $props[0];

$link = mysql_connect($url, $usr, $password);
if (!$link) {
    die('Could not connect: ' . mysql_error());
}
...

Esse código será executado com êxito, mas qualquer pessoa com acesso a config.properties poderá ler o valor de password. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.

Codificar ou armazenar uma senha em texto simples poderia resultar em um comprometimento do sistema.

Os problemas de gerenciamento de senhas ocorrem quando uma senha é codificada ou armazenada em texto simples nos arquivos de configuração ou em outros repositórios de dados de um aplicativo. Nunca é uma boa ideia inserir uma senha em código fixo. Isso não só permite que todos os desenvolvedores do projeto visualizem a senha, como também dificulta extremamente a correção do problema. Depois que o código estiver em produção, a senha não poderá ser alterada sem uma aplicação de patch no software. Se a conta protegida pela senha estiver comprometida, os proprietários do sistema deverão escolher entre a segurança e a disponibilidade
Exemplo 1: O código a seguir autentica o usuário ao ler a senha que o usuário digitou para fazer login no servidor de banco de dados e compará-la a um valor esperado.

...
ip_address := OWA_SEC.get_client_ip;
IF ((OWA_SEC.get_user_id = 'scott') AND
    (OWA_SEC.get_password = 'tiger') AND
    (ip_address(1) = 144) and (ip_address(2) = 25)) THEN
        RETURN TRUE;
ELSE
        RETURN FALSE;
END IF;
...

Esse código será executado com êxito, mas qualquer usuário que tiver acesso a ele também terá acesso à senha. Depois que o programa é distribuído, provavelmente não há como alterar o usuário de banco de dados “scott” com a senha “tigre”, a não ser que um patch seja aplicado ao programa. Um funcionário com acesso a essas informações pode usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo de propriedades e a usa para se conectar a um banco de dados.

...
props = os.open('config.properties')
password = props[0]

link = MySQLdb.connect (host = "localhost",
                           user = "testuser",
                           passwd = password,
                           db = "test")
...

Esse código será executado com êxito, mas qualquer pessoa com acesso a config.properties poderá ler o valor de password. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação nos arquivos de configuração ou em outro repositório de dados de um aplicativo.
Exemplo 1: O código a seguir lê uma senha a partir de uma variável de ambiente e a utiliza para se conectar a um banco de dados.

require 'pg'
...
passwd = ENV['PASSWD']
...
conn = PG::Connection.new(:dbname => "myApp_production", :user => username, :password => passwd, :sslmode => 'require')

Esse código será executado com êxito, mas qualquer usuário que tenha acesso à variável do ambiente usada para armazenar a senha poderá ler o valor de PASSWD. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo de propriedades e a usa para se conectar a um banco de dados.

...
val prop = new Properties()
prop.load(new FileInputStream("config.properties"))
val password = prop.getProperty("password")

DriverManager.getConnection(url, usr, password)
...

Esse código será executado com êxito, mas qualquer pessoa com acesso a config.properties poderá ler o valor de password. Qualquer funcionário desonesto com acesso a essas informações pode usá-las para invadir o sistema.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo plist e a usa para descompactar um arquivo protegido por senha.

...
var myDict: NSDictionary?
if let path = NSBundle.mainBundle().pathForResource("Config", ofType: "plist") {
    myDict = NSDictionary(contentsOfFile: path)
}
if let dict = myDict {
    zipArchive.unzipOpenFile(zipPath, password:dict["password"])
}
...

No ambiente móvel, o gerenciamento de senhas é especialmente importante, pois há uma grande chance de perda do dispositivo.

Armazenar uma senha em texto sem formatação pode resultar no comprometimento do sistema.

Problemas de gerenciamento de senha ocorrem quando uma senha é armazenada em texto sem formatação no arquivo de configuração ou nas propriedades de um aplicativo.
Exemplo 1: O código a seguir lê uma senha de um arquivo de propriedades e a usa para se conectar a um banco de dados.

...
Private Declare Function GetPrivateProfileString _
  Lib "kernel32" Alias "GetPrivateProfileStringA" _
  (ByVal lpApplicationName As String, _
  ByVal lpKeyName As Any, ByVal lpDefault As String, _
  ByVal lpReturnedString As String, ByVal nSize As Long, _
  ByVal lpFileName As String) As Long
...
Dim password As String
...
password = GetPrivateProfileString("MyApp", "Password", _
  "", value, Len(value), _
   App.Path & "\" & "Config.ini")
...
con.ConnectionString = "Driver={Microsoft ODBC for Oracle};Server=OracleServer.world;Uid=scott;Passwd=" & password &";"
...

Esse código será executado com êxito, mas qualquer pessoa com acesso a config.properties poderá ler o valor de password. Qualquer funcionário desonesto com acesso a essas informações poderá usá-las para invadir o sistema.