[詢問] 密碼已被使用過

[jay01684 (依果)]

故事是這樣的...

想一想我 google 的密碼也三年多沒換過了，

且裡面的拉丁字母都是小寫(最近這兩三年申請的帳號都會混大小寫)

想說 google 是我最常用的服務，也把密碼改成混大小寫，這樣比較一致。



結果在我要改密碼的頁面，新設定的密碼居然被說已經使用過不能用

( Choose a password you haven't previously used with this account. )

假設我原本的密碼是 abcd5566 ，我現在想改成 Abcd5566 ，

結果就說 Abcd5566 已經被用過這樣。 QQ


原本以為是真的已經有使用過了，

可是當我去申請一個新的帳號，先用全小寫的密碼，再改成大小寫混雜也是不能改。

只要是同一組拉丁文加數字，大小寫不一樣都會被視為同一個密碼。


這讓我想到一個問題是..該不會 google 是用明碼在記錄我們的密碼？

所以他們才能知道我換成大寫的密碼和原本的密碼是一樣的！

可是 google 那麼大的公司應該不會做這種蠢事..

更神奇的是..我用 Abcd5566 去登入我的帳號並登不進去，不像帳號那樣大小寫都可以。

代表 google 並沒有把密碼大小寫視為一樣...


到底為什麼 Abcd5566 這個密碼會不能用咧.. (PA`q )


--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 140.113.242.224
→ pptpb:要是先改成另一組完全不一樣的, 再改回來呢？
推 TuTu522:這個「保護機制」我很早就知道，不過沒有想過你說的明碼
→ TuTu522:儲存問題，感覺很有趣，到底 Google 是怎麼判斷的呢？
→ TuTu522:當然不可能是用明碼儲存。應該是 Google 有自己的密碼演算
→ TuTu522:法，可以回推吧？
→ dearlove:全部轉小寫再存hash就可以判斷了啊
推 dotZu:沒那麼特別吧，先轉成全部小寫不就可以判斷了
推 Shauter:這.............很明顯數學或是資安的背景。
→ Shauter:不只google，這種用過的密碼不能再用不是新技術......
推 TuTu522:單純全部轉小寫會有個問題，就是 Google 登入時仍然有檢查
→ TuTu522:密碼大小寫呀，根據原 po 的實驗。
推 TuTu522:啊我想到了，可能每組密碼 Google 都有儲兩種 hash，一種
→ TuTu522:是使用者原始輸入的，一種是都轉成大or小寫之後才hash的。
→ TuTu522:這樣基本上也就是6F,7F的作法囉。
→ jay01684:@pptpb 我怕先這樣一弄連我現在這個密碼都不能用了QQ
→ jay01684:經樓上幾位解釋小弟我了解為什麼可以查出僅大小寫不同的
→ jay01684:密碼了.. 不過問題是，為什麼 google 那麼大費周章要禁止
→ jay01684:我把原本的密碼設成大小寫不同阿.. (淚
推 TuTu522:基本上所有密碼都一樣是件危險的事，建議你至少還是讓 Goo
→ TuTu522:gle 密碼保持獨立吧，尤其若你很依賴 Google 服務的話。免
→ TuTu522:得其他網站被駭了，你的 Google 帳號也飛了。
→ jay01684:我每個地方的密碼都是不同的 不過都會遵照同一個規則
→ jay01684:現在的問題是因為 google 沒有混大小寫所以規則不一致XD
→ jay01684:幾年前的確都只用一組密碼.不過在某個OLG被盜之後就不敢w
推 andy199113:密碼(明文)→密碼(密文)→密文比對過去資料→同意/拒絕
推 TuTu522:樓上，重點是大小寫，原則上加密後是無法比對大小寫的。
→ bestpika:你覺得 Google 這麼大的公司敢存明碼?
→ bestpika:而且如果 Google 直接存 hash 其實也有風險的
→ bestpika:所以舊的密碼應該有經過某些處理再存起來
→ bestpika:然後新密碼會經過相同的處理再去跟舊的比對
→ bestpika:就是不要讓你的密碼 hash 原封不動存在裡面