Problema de seguridad en 3djuegos (contraseñas no hasheadas en la base de datos)

Hola a todos. 

Tras cierto tiempo sin pasarme por 3DJuegos hoy he decidido volver a entrar. Como no me acordaba de mi contraseña, he decidido usar la opción "Recuperar contraseña", y cuál ha sido mi sorpresa? Pues bién, en apenas unos segundos, he recibido un correo de 3DJuegos con mi contraseña en texto plano. Es decir que, como seguramente ya habréis visto muchos, cuando solicitas la contraseña te la mandan directamente al correo diciéndote "TU CONTRASEÑA ES: 1234contraseña1234".

He indagado un poco, sobretodo para ver si ya había quejas al respecto, y efectivamente he encontrado este post [url]https://www.3djuegos.com/foros/tema/42929689/0/carta-abierta-a-3djuegos-en-relacion-a-la-seguridad-del-sitio/[/url] del usuario @MeLlamoPablo, el cual es muy interesante y explica a la perfección la problemática de guardar las contraseñas en texto plano en la base de datos.


Aún así, 2 años después de ese post, veo que no se ha solucionado y te siguen mandando la contraseña en texto plano a tu correo electrónico. El caso es que según he visto en ese hilo, las contraseñas se guardan cifradas pero no hasheadas, con lo cual noto cierta confusión por parte de los administradores de 3djuegos.

Como breve explicación, si las contraseñas se guardan en texto plano en la base de datos, cualquier hacker que acceda a ella tendrá acceso a todas las contraseñas, simplemente viendo que el usuario "usuario1" tiene la contraseña "contraseña1" y así para todos los usuarios de la base de datos. 

Según informó el moderador @Enrique en ese mismo post, las contraseñas se guardan cifradas. Al menos a mí, me da la sensación de que los administradores de sistemas de 3DJuegos creen que es una medida absolutamente segura, cuando en realidad no aporta absolutamente nada. Si el servidor es capaz de revertir el cifrado, entonces un hacker/intruso también podría. Es decir, desde que yo he clicado en "Recuperar contraseña" hasta que la he recibido en el correo electrónio, han pasado apenas 2 segundos, lo cual significa que el mecanismo de descifrado que usan es trivial y no aporta ningun tipo de seguridad, más que una pequeña traba al hacker de turno que quiera acceder a la base de datos y ver las contraseñas.

Tal y como parece que está implementado, bastaría que el hacker echara un vistazo al código (PHP seguramente) y viera como se obtienen las contraseñas (es decir, como se descifran) cuando el usuario hace clic en "Recuperar contraseña". La diferencia entre guardarlas en texto plano, y guardarlas cifradas es prácticamente nula y como digo, solo supone una pequeña traba para un hacker que ha sido capaz de entrar al sistema. 

La forma más segura es guardarlas HASHEADAS (que no cifradas), de tal forma que a través de la contraseña se puede obtener un hash (un código arbitrario, y diferente para todas las contraseñas, aunque sean la misma) que NO se puede revertir o que se necesitaría una cantidad de tiempo inviable para conseguirlo.  

Es decir, aunque actualmente las contraseñas se guarden cifradas, si el sistema es capaz de descifrarlas cuando hacemos clic en "Recuperar contraseña", entonces el problema sigue siendo el mismo. Un hacker que entre al sistema podrá acceder a todas las contraseñas, solo que ahora tendrá que buscar un poquito más para dar con el algoritmo de descifrado, que de todas formas solo bastaría con echar un ojo en el código y ver como se descifran las contraseñas cuando queremos que nos la manden al correo.

Y si a todo esto le añadimos que cuando usamos la opción "Recuperar contraseña" nos la envían en plano por correo, las vulnerabilidades del sistema aumentan mucho más. Si el correo no se cifra, cualquier hacker podría realizar un Man in the Middle para interceptar los correos y ver las contraseñas...

Parece que 2 años después de ese post la seguridad de los usuarios sigue sin ser importante, ya que no han implementado ninguna política ni han hecho nada para lidiar con esa clara vulnerabilidad que en pleno 2018 se debería evitar totalmente.

Por supuesto puede haber alguna política de seguridad implementada en el servidor de la cual yo no sea consciente, pero hasta que lo solucionen o lo aclaren creo que lo más seguro es cambiar vuestra contraseña si es la misma que usáis en otros servicios.
Seguridad, 3DJuegos, Contraseñas, Hash y Cifrado
EDITADO EL 25-02-2018 / 20:32 (EDITADO 7 VECES)