ユーザーパスワードの保存方法に関する公式の基準はありますか？
私は最近、数年前からアカウントを持っていた政府サービスを使用しました。サービスのパスワードを思い出せなかったので、「パスワードを忘れた」リンクを使用し、この政府のWebサイトが私のパスワードをプレーンテキストで私の電子メールアドレスに送信したのを見て驚いた。
私はユーザーパスワードの処理方法を個人的に知っており、フィードバックフォーム（これは政府のWebサイトです）を通じて懸念事項についてコメントを送信しました。ほとんどの人はすべてに同じパスワードまたは少数のパスワードを使用し（私は知っています）、プロンプト応答を得たのと同じセキュリティ慣行が使用されていると思います）。彼らは単に「省はパスワード情報を保護するために適切な暗号化を施して保存することを含め、必要な措置を講じている」と安心させました。
「私にパスワードをメールで送信できるのであれば、明らかに必要な手順を踏んでいない」とだけ言いたいのですが、私は失礼な態度をとろうとはしていません。とにかく私が何を言っているのか知っている人に連絡してください。
それで、「[公式のセキュリティ基準]に従って必要な手順がとられていない」とだけ述べて、誰かにそれを調べるように促すかもしれません。 OWASPでクイック検索を行いましたが、プレーンテキストストレージに関する記事しか見つかりませんでした。
ユーザーのパスワード処理に関するセキュリティ基準はありますか？さらに良い：銀行や政府のWebサービスなどの機密情報を扱うWebサイトが必須に準拠するような標準はありますか？
私はおそらく何も変更しないことを知っていますが、IMOを試してみる価値はあります。
まあ、叙事詩のスレッド https://stackoverflow.com/questions/2283937/how-should-i-ethically-approach-user-password-storage-for-later-plaintext-retriev 確かにこの問題について言うことはたくさんあります。
潜在的にあなたの興味に関連する：
-1のパスワードは決して「暗号化」してはいけません。これはCWE-257の違反です cwe.mitre.org/data/definitions/257.html – 2月17日10月21日52時