वेब डेवलपर डिफ़ॉल्ट रूप से असुरक्षित कोड लिखते हैं

"यदि आप चाहें, तो मैं पासवर्ड एन्क्रिप्ट कर सकता हूं।"

कुछ डेवलपर्स जिन्हें स्पष्ट रूप से क्रिप्टोग्राफी का उपयोग करने का निर्देश दिया गया है, उन्होंने बेस 64 पासवर्ड एन्क्रिप्शन का उपयोग किया है

जब मीडिया में किसी अन्य डेटा लीक के बारे में जानकारी दिखाई देती है, तो यह हमेशा हैरान करता है कि कंपनी ने उपयोगकर्ता के पासवर्ड को स्पष्ट पाठ में क्यों रखा, एपीआई की सुरक्षा नहीं की, या कुछ अन्य बुनियादी गलती की। क्या हमारे समय में सुरक्षा नियमों का उल्लंघन संभव है?

बॉन विश्वविद्यालय (जर्मनी) के एक नए अध्ययन से पता चलता है कि फ्रीलांस डेवलपर्स डिफ़ॉल्ट रूप से अत्यंत असुरक्षित प्रथाओं का पालन करते हैं, जब तक कि ग्राहक को अधिक की आवश्यकता न हो।

शोधकर्ताओं ने Freelancer.com पर 260 जावा डेवलपर्स को एक काल्पनिक सामाजिक नेटवर्क के लिए एक पंजीकरण प्रणाली विकसित करने के लिए आमंत्रित किया है, जो ग्राहकों को माना जाता है। इनमें से केवल 43 ने एक आदेश पर सहमति व्यक्त की जिसमें जावा, जेएसएफ, हाइबरनेट और पोस्टग्रेक्यूएल प्रौद्योगिकियों का उपयोग शामिल था।

आधे डेवलपर्स को काम के लिए 100 यूरो मिले, और आधे - 200 यूरो। प्रत्येक दो समूहों में से आधे को सुरक्षित पासवर्ड स्टोर का उपयोग करने का निर्देश दिया गया था, जबकि दूसरे ने नहीं किया था।

हालांकि नमूना स्पष्ट रूप से छोटा है, अंतर इतना महत्वपूर्ण है कि यह कुछ सामान्य रुझानों का सुझाव देता है। यहाँ अध्ययन के कुछ परिणाम दिए गए हैं:

• जिन लोगों को निर्देश नहीं दिए गए थे, उनमें से 18 में से 15 ने स्पष्ट पाठ में पासवर्ड रखे थे
  
• सुरक्षित स्टोर का उपयोग करने के निर्देश दिए गए लोगों में से तीन ने अपने पासवर्ड को स्पष्ट पाठ में संग्रहीत किया।
  
• प्रोग्रामर जो पासवर्ड एन्क्रिप्ट करते थे, असुरक्षित तरीकों का इस्तेमाल करते थे: 31 प्रोग्रामर ने एन्क्रिप्ट करने के लिए बेस 64, एमडी 5, एसएचए -1 इत्यादि जैसे तरीकों का इस्तेमाल किया।
  
• केवल 12 फ्रीलांसरों ने bcrypt और PBKDF2 जैसे सुरक्षित तरीकों का उपयोग किया है।

8 लोगों ने एन्क्रिप्शन के लिए बेस 64 का इस्तेमाल किया
10 - एमडी 5
1 - SHA-1
3 - 3 डीईएस
3 - एईएस
5 - SHA-256
1 - HMAC / SHA1
5 - पीबीकेडीएफ 2
7 - Bcrypt

नीचे दी गई तालिका (क्लिक द्वारा बढ़ती है) प्रत्येक प्रतिभागी के लिए पूर्ण परिणाम दिखाती है: कार्य को पूरा करने के लिए उसे कितने दिनों की आवश्यकता थी, इस समय उसने सुरक्षा को लागू करने में कितना समय बिताया और उसने कौन सा एन्क्रिप्शन एल्गोरिथम लागू किया। तालिका के ऊपरी भाग में, जिन्हें जानकारी को एन्क्रिप्ट करने के लिए सीधे निर्देश दिए गए हैं। बोल्ड प्रतिभागी वे हैं जिन्होंने पहले एक असुरक्षित समाधान भेजा था, लेकिन फिर एक सुरक्षित पासवर्ड स्टोर को लागू करने के लिए अतिरिक्त निर्देश प्राप्त किए।



अधिकांश प्रोग्रामर बुनियादी सुरक्षा विधियों को लागू करने में असमर्थ थे, और यादृच्छिक वेबसाइटों से 43 में से 17 कॉपी किए गए कोड थे।

केवल 15 डेवलपर्स ने नमक का उपयोग किया - एक डेटा स्ट्रिंग जो पासवर्ड के साथ हैश फ़ंक्शन को पारित किया जाता है, जो कि क्रूर बल को बहुत जटिल करता है।


तालिका (क्लिक करने योग्य) अध्ययन प्रतिभागियों के जनसांख्यिकीय डेटा को दिखाती है। जैसा कि आप देख सकते हैं, ये मुख्य रूप से पुरुष हैं, औसत आयु 30 वर्ष है, 11 देशों से (दो मामलों में, देश इंगित नहीं है)

कम-भुगतान और उच्च-भुगतान वाले समूहों ने गुणवत्ता के समान स्तर पर काम किया।

सामान्य तौर पर, अध्ययन बल्कि निराशाजनक है। यह माना जा सकता है कि फ्रीलांसरों के बीच बुनियादी सुरक्षा जागरूकता अविश्वसनीय रूप से कम है। क्रिप्टोग्राफी का उपयोग करने के लिए विशेष निर्देश प्राप्त करने वाले 18 प्रतिभागियों में से, तीन ने बेस 64 का उपयोग करने का फैसला किया और उदाहरण के लिए दावा किया: "[I] ने सब कुछ एन्क्रिप्ट किया ताकि पासवर्ड दिखाई न दे" और "इसे डिक्रिप्ट करना बहुत मुश्किल है।"

शायद यह व्यवहार केवल फ्रीलांसरों के लिए विशिष्ट है, और बिना किसी निर्देश के स्टाफ सदस्य तुरंत एक सुरक्षित निर्णय लेने की कोशिश करते हैं? अध्ययन इस प्रश्न का उत्तर प्रदान नहीं करता है।

---