Como se recusar a conceder acesso a senhas para um cliente sem ser profissional ou rude?

8

Digamos que você esteja criando um site para um cliente. Este site tem seu próprio registro (combinado com o OpenID ou não). O cliente solicita que você possa ver as senhas que os usuários estão escolhendo, já que os usuários provavelmente usarão a mesma senha em todos os sites.

Em geral, eu digo:

  • seja impossível recuperar as senhas, pois elas não são armazenadas em texto sem formatação, mas com hash,

  • ou que não tenho o direito de fazer isso ou que os administradores não devem poder ver as senhas dos usuários, sem fornecer detalhes adicionais.

A primeira é falsa: mesmo que as senhas sejam divididas em hash, ainda é possível capturá-las e armazená-las em cada logon (por exemplo, fazendo um tipo estranho de auditoria que lembrará não apenas qual usuário teve sucesso ou não logon, mas também com qual senha). O segundo é rude.

Como recusar esse pedido, sem ser profissional ou rude?

Arseni Mourzenko
fonte
24
Estou perplexo aqui ... Eles pediram acesso às senhas dos usuários e declararam o motivo, pois sabemos que eles provavelmente usarão as senhas em vários sites ? Eu nem saberia como responder ... Eles não estão apenas a ser pouco profissional, nós estamos falando de fraude / roubo de identidade aqui ...
Max
2
Eles estão pedindo sua própria senha? Caso contrário, basta dizer que levará tempo e informar as autoridades apropriadas. Dependendo do setor em que você se encontra, leis diferentes podem ser aplicáveis ​​aqui. A mais rigorosa que eu conheço exige que você relate isso às autoridades relevantes sem informar o "cliente" que você o fará.
Apoorv Khurasia
1
você pode estar interessado em ler esta discussão em SF: serverfault.com/questions/293217/... (cerca de pedido de senhas de auditor de segurança)
mosquito

Respostas:

11

Diga a ele a primeira parte. Que você está armazenando as senhas em um hash. E que todos os sistemas de senha funcionam dessa maneira. O administrador pode alterar senhas, redefinir senhas, mas não pode ler senhas. Se o seu cliente tiver conhecimento sobre programação, ele poderá saber que você pode interceptar as senhas antes do hash.

Agora vá para a segunda parte. O site possui uma política de privacidade ou termos de uso. Usar o site para coletar as senhas violaria a maioria dessas políticas. Se o cliente insistir em coletar essas informações, explique que isso tornaria seu site inútil e uma cidade fantasma se a comunidade não pudesse confiar no site.

Se ficar claro que a intenção deles é roubar senhas. Corre. Encontre um novo emprego ou um novo contrato. Se você trabalha para uma empresa nesse contrato, diga a eles o que você sabe.

mhoran_psprep
fonte
Como indiquei na própria pergunta, dependendo do setor em que você está trabalhando (bancário, por exemplo), não trazer a brecha política à atenção dos reguladores (FED, por exemplo) o torna criminalmente responsável. Muitos setores têm leis similares (podem não ser tão severas). Portanto, correr e encontrar um novo conselho de emprego pode não ser tão bom, afinal.
Apoorv Khurasia
Você poderia fornecer um link para esta lei? Isso parece desencorajar um monte de denúncias.
precisa
@ErikReppen: Por que ser criminalmente responsável por não denunciar desanimaria?
Brian
Porque se eu entendo o Monster Truck corretamente (nos comentários da resposta), você é responsável por informar o cliente que está entrando em contato com as autoridades. Mas e se essa foi a primeira coisa que você disse a eles quando fizeram o pedido? Também cheira a armadilha via proxy. Se alguém os alertou, resultando na interrupção do comportamento criminoso e os federais estão tentando impedir que você faça isso, como isso difere dos federais os encorajando a violar a lei? É estúpido colocar consequências nos denunciantes por não fazer as coisas exatamente do jeito que elas querem.
precisa
3

O site possui uma "Declaração de Privacidade"? E essa afirmação inclui algo sobre a distribuição de "informações confidenciais"?

Nesse caso, eu provavelmente diria: "Não tenho liberdade para distribuir informações confidenciais sobre o usuário. Isso é uma clara violação de nossa própria declaração de privacidade!" (O ponto de exclamação aqui é importante). Se você não tem uma declaração de privacidade, eu diria o mesmo, exceto a última frase.

As pessoas que fazem essas perguntas não devem receber desculpas falsas, como é tecnicamente impossível. Eles devem ser educados na verdade, as senhas do usuário são privadas e é moral e eticamente errado (e provavelmente também ilegal como alguém mencionado) reuni-las no sistema.

Pete
fonte
+1 por não fornecer desculpas falsas. Melhor ir direto à perseguição ilegal / antiética onde os imbecis estão envolvidos.
Erik Reppen
2

Apenas diga que você não quer experimentar a vida na prisão :) Porque você sabe o que eles perguntam, se for claramente para o uso ilegal de senhas de usuários, os levarão a muitos problemas grandes. Eu acho que a melhor maneira é tentar ensiná-los por que é realmente ruim fazer coisas assim.

Mas o verdadeiro problema é, imho, o fato de você trabalhar para ladrões enquanto não gosta de ladrões. Em vez de encontrar uma maneira de não ser muito rude com pessoas que você não gosta, não seria melhor se você simplesmente parasse de trabalhar para elas? Sugiro que você adicione algumas cláusulas sobre o que não está pronto para fazer em seus contratos futuros, a fim de evitar esse tipo de situação.

De qualquer forma, o fato de você não estar pronto para fazer o que eles pedem, porque isso é ilegal, o honra.

lvictorino
fonte
1

Claro que você quer ser legal, pode indicar que essa solicitação é incomum e requer aprovação das autoridades superiores. Seria bom explicar o impacto desse ato na organização e nos usuários. Isso é para garantir que você e o cliente tenham um entendimento completo da situação. Você deve manter tudo por escrito, é claro.

Você pode descrever a situação em uma declaração de política e pedir ao principal interessado / gerente do sistema que aprove ou negue a política e use-a como uma documentação de backup para sua resposta à solicitação. Você também pode adicionar o fato de que os usuários serão notificados do fato de que suas senhas não são secretas.

É tudo uma questão de política, nada mais e nada menos.

NoChance
fonte
2
Isso não é apenas uma questão de política, pois o cliente claramente deseja roubar as senhas. Nenhum desenvolvedor pode ser cúmplice de algo assim. É difícil chamar a polícia sobre isso e provavelmente é difícil para a MainMa não ser rude, mas ele não pode cumprir, seja o que for que a política e os estúdios digam.
Denys Séguret
@dystroy, bem, não temos certeza do papel da pessoa que está solicitando essas informações. Qualquer coisa é legal, desde que haja uma lei para dizer que é. Estamos em um mundo onde até matar é justificável pela lei.
precisa saber é o seguinte
0

Certamente você está apenas armazenando senhas com hash, por isso é impossível. Caso contrário, você tem problemas maiores. Então essa é a resposta correta.

Craig
fonte
1
Há uma oportunidade, no entanto, antes que as senhas sejam hash. O navegador envia a senha para o servidor em texto sem formatação e o código do lado do servidor (pelo qual o MainMa é responsável) a recebe em texto sem formatação.
precisa saber é o seguinte
0

Acho que primeiro eu diria que eles são criptografados unidirecionalmente e depois passar a exigir um pedido por escrito (em papel timbrado) (de quem estiver no comando) para que eu possa apresentá-lo à polícia / FBI (ou qualquer outro país equivalente) relevante) / etc se e quando necessário. Grampeie isso em uma cópia dos e-mails em ambas as direções, e a bola estará em sua quadra. Não vejo nenhuma empresa solicitando isso, então provavelmente é um indivíduo e eles provavelmente desistiriam do pedido.

Se eles me entregam a papelada, então são seus dados, sua solicitação, se violam sua própria política de privacidade ou a lei, então é a cabeça deles.

Wolf5370
fonte