รู้ได้ยังไงครับว่าไม่เข้ารหัส

รู้ว่า "ไม่เข้ารหัส" นี่น่าจะยาก

ถ้าดันส่งรหัสผ่านเดิมมาให้แบบถูกต้อง อันนี้ชัดเจนครับ ไม่เข้ารหัส (plaintext) แบบเต็มๆ

แต่ถ้า ส่งรหัสผ่านชั่วคราว แล้วตอนล็อกอินครั้งแรกบังคับให้เปลี่ยนรหัสผ่าน แบบนี้ก็ยังสรุปไม่ได้ครับ

อาจจะเข้ารหัสแบบ Symmetric key ก็ได้นิครับถอดกลับมาได้

แต่ผมก็ไม่รู้ว่าคุณ TUM รู้ได้ยังไงนะครับไม่แน่ใจ
ถ้าเป็นวิธีเดียวกับการส่งรหัสเก่ากลับมาก็ในใจลึก ๆ ผมคิดว่าเขาเข้ารหัสแบบ Symmetric Key ไว้นะครับ

ผมเริ่มอยากรู้ล่ะว่าคุณ TUM รู้ได้ยังไง

ถ้าส่งรหัสแบบ plain textมาให้ก็แย่มากๆละครับ แปลว่าในdbไม่ได้hashไว้แต่เป็นไปได้ว่าอาจจะใช้สักอย่างencryptไว้ซึ้งก็ไม่ปลอดภัยเท่าไรนะ -*-

การส่งอีเมลแจ้ง user/pass ตอนสมัครไม่ได้หมายความว่าไม่เข้ารหัสครับ
เพราะกระบวนการมันอาจเป็นแบบนี้ได้

ในไฟล์บันทึกการลงทะเบียน

• ส่งเมลหา user แจ้ง user/pass ไปในเมล
• เข้ารหัส/hashing รหัสผ่าน ใส่ database

ถ้าสองอันนี้ทำใน process ไฟล์เดียวกันก็ไม่แปลกที่จะส่งรหัสผ่านแบบ plain text กลับมาในเมลแจ้งครั้งแรกได้ครับ แต่ถ้าส่งมากับเมลขอ reset รหัสผ่านนี่หมายความว่ารหัสผ่านไม่ถูกเข้ารหัสไว้ หรือเข้ารหัสไว้ในรูปแบบที่ถอดรหัสได้แน่นอนครับ

ผมว่าคุณ Tum ลองกดลืมรหัสผ่านหรือรีเซ็ตรหัสผ่านดูครับ ถ้าในขั้นตอนนี้ยังมีรหัสผ่านเดิมของคุณส่งมากับเมล์ มันก็ใช่ล่ะ