私の子供の学校から家に送られたフォームに私のパスワードを印刷できた場合、それは安全でないパスワードストレージポリシーを意味しますか？

Question

私の地区のWebサイトには、子供ごとにユーザーアカウントがあり、登録、成績、身分証明などを監督しています。

私は最近、子供たちの両方の教室から、新しい学年のフォームに署名できるようにアカウントへのログインを要求するフォームを自宅に送りました。この紙には、アカウントのユーザー名とパスワードの両方が印刷されていました。

自宅で印刷したパスワードを送信するというセキュリティ慣行はすぐに思いがけないものですが、私の最大の懸念は、私のパスワードが地区システムにどのように保存されるかです（最終的には、システムが侵害された場合にどうなるでしょうか）。

ウェブマスターに連絡したいのですが、メールを送信する前に、この種の事態を回避するための措置をとるように求める前に、想定が正しいことを確認したいと思います。私は関連する質問を見て、ストレージポリシーをめぐって嫌がらせをしたりしないようにしたいと思います。

-

何度か尋ねられたので、これは自動生成されたパスワードではなく、アカウントに設定したパスワードです。また、これは保護者が管理するアカウントです。それはあなたの子供の機密情報を含んでいます。学生ポータルなどを目的としたものではありません。

-

Update_1：

今日、地区のウェブマスターから、メールについて詳しく説明したいとの電話がありました。私の懸念は2つあることを説明しました：（a）印刷した紙にパスワードを送信すること、および（b）そもそもそのパスワードを取得する機能。

このシステムはレガシーシステムであるため、「パスワードを忘れた」機能を許可する機能がないことが通知されました。彼らが同意したポリシーは正しくありませんが、パスワードを覚えていないすべての親に、パスワードを取得するためのIDを持って学校に来るようにすることもできます。（私たちはまた、私たちが60％の貧困地区にいるため、すべての親がパスワード管理用の電子メールアドレスを持っていると仮定することはオプションではないことも通知されました）。これは信じられないほど不便なことですが、私のパスワードにアクセスできたので、誰かが私のアカウントに同様にアクセスすることの不便さを説明しました。

また、システムは来年交換され、より最新のセキュリティ機能が追加されることも通知されました（ただし、将来のシステムのストレージポリシーはわかりません）。

その女性はとても礼儀正しく、私に彼らのIT責任者と連絡を取り、パスワードストレージポリシーに関する私の懸念について話し合うことを提案しました。彼女はまた、学校の校長宛の電子メールでBCCに私に申し出て、将来の通信は封印された形式で発行することを要求しました。

最後に、私は最初にパスワードを再利用するために少し（そして正しく）叱られました。

Mike Ounsworth · Accepted Answer

うん！データベースからパスワードを取得できる場合は、パスワード保存のベストプラクティスに従っていないことは明らかです。 OWASPは、それを適切に行うための優れたガイドを提供します。

https://www.owasp.org/index.php/Password_Storage_Cheat_Sheet

その手紙で使用できる弾薬は次のとおりです。

あなたは私（私の子供の法定後見人）にフォームに署名してほしい。
あなたはウェブサイトにログインし、ボタンをクリックするというアクションを合法的な署名の形式として使用しています。
ログインしてボタンをクリックしたのが実際に私だったことをどうやって知っていますか？
途中でユーザー名とパスワードを入力してシートにアクセスした人は何人ですか。ログインしてボタンをクリックしたのが実際に私であることをどのように証明できますか？
明らかに、パスワードは、教育委員会のスタッフが取得できるようにデータベースに保存されています。ログインしてボタンをクリックしたのが実際に私であることをどのように証明できますか？
何か問題があった場合は、「署名」が法廷に持ちこたえられることを強く疑います。これは、教育委員会や私にとって（フォームの内容によって異なります）、責任の問題のようです。
教育委員会の法務チームから、これでいいという声明をもらえますか？

anon-insider · Answer

注：問題のパスワードが学生によって使用されておらず、ランダムな初期パスワードではないことを指定するように質問が更新されたため、この回答の残りの部分は実際には適用されません。親パスワードは標準のsalted-iterated-hashテクニックで保存する必要があるという他の回答にも同意します。この計画の実施において学区が直面する障害は、生徒のパスワードに相当するものよりもはるかに少ないです。

幼稚園から高校までの情報技術に関する経験から言えば、状況はおそらくあなたが想像しているよりも悪いと言えるでしょう。

変化を求めて始める前に、1つの学校や地区ではなく、巨大なシステムと戦っていることに注意してください。いくつかの明るい点があります、それは基本的に標準のセキュリティの知恵が適用されない領域です。ベンダーの半分は、最新のパスワードストレージオプションやフェデレーション認証について聞いていません。学生の多くは若すぎて、深刻なエントロピーを伴うパスワードを処理できません。

そして何よりも重要なのは、学校はどのような錫鍋独裁政権よりもうるさいということです。管理者は、何かがおかしいと思うときはいつでも生徒のアカウントにアクセスできる機能を求めています。これを行う唯一の方法は、さまざまな古い認証スキームを持つすべてのサービスで、パスワードを知ることです。

質問への回答が実際に必要な人に不満を感じている場合は、いくつか提案します。

生徒のパスワードを表示するためにアクセスできる学校の従業員は何人ですか？
学生のパスワードがどのくらいの頻度で閲覧され、どのスタッフによって閲覧されたかを示す記録はありますか？
どのスタッフアカウントがどの学生アカウントにログインするために使用した学生パスワードを持っているか、どのサービスにアクセスしたかに関する記録はありますか？
学区内のいくつの異なるデータベースに、（暗号化されていない、ハッシュ化されていない）学生パスワードのコピーが含まれていますか？
学生のパスワードは事前に（有効期限が切れた後、または学生が自発的に）変更したことはありますか？または、報告された違反がない場合、パスワードは永久に同じままですか？
侵入テストはありましたか？何かについて...これまでに？
学生のパスワードの完全なリスト、および/またはそれらを含むデータベースへの完全なリモートアクセスが与えられた第三者（オンライン教科書出版社など）は何人ですか？
学生のログインが含まれる新しい製品またはサービスの購入を検討する場合、情報セキュリティの実践が決定の要因になることはありますか？

良い答えを期待しないでください。不正解を予想し、事前に次の行動を計画してください。

そして、HIPAAとFERPAで彼らを驚かせることを期待しないでください。彼らはそれらについて聞いたことがあります、そして彼らの弁護士はおそらく彼らがしているすべてがうまくいっていると彼らにおそらくすでに言ったでしょう。

Tom · Answer

これは入力したパスワードですか、それとも最初のログイン時に変更する必要があるランダムに生成された初期パスワードですか？

最初のケースでは、これは考えられるほとんどすべての赤信号を発生させる絶対にひどいセキュリティ慣行の兆候です。これは大きなセキュリティホールであり、すぐに対処する必要があります。また、今すぐこのパスワードを使用する他のすべての場所でこのパスワードを変更する必要があります（正直に言って、パスワードはすべて再利用します）。

これは、学校の情報セキュリティの責任者にも注意を向ける必要があります。または原則。基本的に、違反が発生して全国的なニュースを発表した場合にキャリアが危険にさらされる人物。

2番目のケースでは、これはSOPです。