某国企工作人员直接电话告诉了我的密码

[bybyte]

这段时间找工作，投了江西某个国企的简历，然后前几天要考试确认，但是当时密码忘了，然后到网站上找回密码，结果报服务器内部异常，然后我就打电话联系网站负责人问一下要怎么办。

我原本以为他们是要告诉我维修要一段时间或者给我发密码重置链接。

万万没想到的是： 对方直接念出了我的密码！！！！！！给我尴尬的要死。当时我都傻了，第一次有人念我用了十几年的密码！

补充一下：十多年的常用密码，当时想着这种网站不靠谱总是泄露，就对密码做了一点小修改，所以才导致忘记密码了

[penzi]

你为什么不用随机密码

[bybyte]

@penzi 这个就是个人习惯了，每个网站都维护一套密码成本高了，有些网站那个密码输入支持也做得不够好浏览器也填充不上来

[HFX3389]

@bybyte #2 依赖密码自动输入想维护多套密码不如用 1password 之类的工具，想离线不如用 keepass 之类的

[dcvsiug]

用个密码管理器吧，很少有网站不支持自动填充，即使不能填充也就复制粘贴一下的事

[tina2998]

他为什么知道你的密码，明文存的？

[bybyte]

@tina2998 是的，这就是我震惊的地方，一个个字母念出我的密码

[kokutou]

国企的系统是这样的，外包的还好一点，自己做的那是真草台

[bybyte]

@kokutou 给人一种大学生毕设的美，主打一个能跑就行

[uCharles]

这是不是说明，这个系统存的是明文密码

[zqr10159]

也不一定，我见过的存的确实是用 mysql aes 加密过的密码，直接是看不出来。但是有密钥也能看。

[loading]

有些不懂的领导。
给他重置密码他还不高兴，非要问他原来密码是多少，重置了还不高兴了，不知道是想试探还是真不懂。

[slowman]

所以一站一密这种事要早做

[niboy]

又不是经常登录的，我一般都随便起一个临时密码，或者 chrome 随机起一个密码，或者就是自己的常用的不重要的密码也行。别说密码了，我连账号都记不住，随机起的

[westerndream]

@bybyte 可以试试固定前缀+对应网站缩写的方式，兼顾易记和防止撞库

[Atma]

帮你快速解决问题了，给他个好评😂

[superjojo]

政府 or 小企业的产品，不能用一些核心密码

[lumia1020]

挺好的，快速解决客户难题。

[hefish]

少见多怪。

[docx]

既然是用了十几年的密码，并且不是随机的，为什么会忘记？

[bybyte]

@docx 补充一下，十多年的常用密码做了一点小修改，所以才导致忘记密码了

[ni2gub1onm]

内网系统明文影响大吗？

[940i3s34v4F1HW41]

工作密码一定要和日常密码不一样

[NO9527]

国企系统不用等保的吗

[lujinkai]

网站太垃圾吧

[imicksoft]

可能是明文，也可能是加密后存库，可解密的。

[fthukp]

国企的系统是这样的，外包的还好一点，自己做的那是真不行，毕竟吃的黄粱

[woodfizky]

·找回密码报内部服务器错误；
·打电话问网站负责人，直接找到你明文密码念出来；
你投的是技术岗位吗，可以看出来这网站和技术领导水平不怎么样了。。

不得不说很多国企的技术力真的很符合刻板印象，而且一想到这么菜还能拿财政支出是真的不爽。

[dddd1919]

政企单位的系统很多半封闭性质，如果提供找回那就需要有手机或邮箱等渠道做二次确认，这玩意在他们系统使用频率低又容器被攻击，给管理员留个后门能直接人对人处理是最方便安全不过

[JamesR]

后台是明文或固定密钥加密呗，这样写起来最简单。我也开发过后台系统，看到同事写得登录模块，就是固定密钥加密的，而非加盐那类。
养成一站一密的好习惯，或者普通密码不可用金融相关密码。

[xcodeghost]

电信的天翼云也是，在 web 中安装系统的时候，输入系统初始密码，系统也是明文保存（技术小哥直接报出了密码）。必须在安装后再次修改一次，才安全。

[piaomiao0315]

明文或者对称加密的，早听说政企相关单位等保是做做样子走个过程，这么一看确实是这么回事

[yungo8]

@JamesR 一般不是加密吧，正经人谁用可以解密的，一般直接存哈希，这种撞出来也不容易了

[JamesR]

@yungo8 对称加密的，同事图省事，因为要做那个定期强制修改密码，以及不能用前两次用过密码等。
我提议修改为非对称加密加盐业界标准，同事认为工期赶，来不及就没做。

[Autonomous]

草台班子，服务端还在明文存储密码

[my101du]

很正常，和政府、国企带点关系的这种边缘系统，基本上都是外包的，就要让领导方便才行。
领导有问题，马上一个电话找到人，立刻解决问题才行。

你搞什么重置密码，什么二次认证，领导皱个眉，下次你还想不想要单子了。
反正黑客拿了数据也不敢怎么样。

[CodeLaunchur]

@westerndream 不行，多了还是会记不清

[juded]

很正常，层层外包，能用就行。
我们这的医保系统之前把用户名和密码信息直接放在 url 里，把地址发到另一台电脑上就能跳过登陆验证直接进入账户操作。在那个我给政府网找错的平台上举报后才修复~

[Jannok]

是的，小网站别用重要密码，默认用那种能泄露的

[yulgang]

这明文密码的优势不就来了

[flytsuki]

正常,有的密码字段只是转码了一下看起来加密了一样,要看明文解一下就出来了

[titanium98118]

移动的集团帐号每次修改密码，还把密码通过短信方式发到你登记的手机号上

[ragnaroks]

基本不太可能是明文，大概率是对称加密的，管理系统里面有解密密钥，你的密码实质上是加密存储的

[Rickkkkkkk]

这下怎么搞的网络安全检查又没用了？

[irrigate2554]

整个密码管理器吧，你真保不准你用的一些服务的安全是多大的草台班子。