記錄失敗的密碼嘗試（明文或其他方式）的值似乎是一種安全反模式。我從未見過執行此操作的Web應用程序，而且我不知道有任何默認系統服務（例如SSH）可以執行此操作。正如下面的@tylerl所指出的那樣，大多數係統僅記錄有關訪問嘗試的元信息（例如，用戶名，時間或IP地址等）。

為什麼這應該是安全的反模式

我可以想到以下三個原因來記錄失敗的密碼嘗試值是不好的想法：

1。用戶Typos

用戶輸入一個或兩個字符的密碼錯誤非常普遍。檢查失敗嘗試的日誌文件將使其中的許多問題很容易找出，特別是如果您可以將失敗嘗試的序列與成功的身份驗證進行對比。

2。猜猜並檢查

許多人都有兩個或三個密碼，可以循環使用所有密碼。因此，當他們忘記了在給定站點上使用的密碼時，他們會循環瀏覽所有密碼，直到找到匹配的內容。這將使在其他站點上入侵其帳戶變得微不足道。

3。 Log Bloat

存儲失敗的密碼對於當今生產中的絕大多數身份驗證服務沒有任何用處。儘管可能存在一些極端情況，但對於大多數人而言，存儲此數據只是在浪費磁盤空間。

有關法律/標準

我不知道有任何標準（PCI，HIPAA等）專門解決存儲失敗的登錄嘗試的過程，但是我認為，鑑於上述事實，可以為為什麼相同的標準提出良好的法律論據。通常適用於存儲密碼，也應適用於密碼輸入失敗的嘗試。換句話說，您可以提出一個法律論據，認為失敗的密碼仍然絕對是密碼，因此，它必須遵循相同的標準。

雖然我當然不是律師，但我不想讓法官決定我是否疏忽大意或違反行業標準，因為失敗的密碼以明文形式存儲並且消費者遭受了後果。我認為這不會以有利的決定而告終。

我同意OP的觀點，即對於各個標準機構專門解決此問題可能很有用（如果他們確實還沒有的話）。 為此，我的建議是創建一個完全不存儲密碼嘗試失敗值的合規性標準。

為任何應用程序記錄純文本密碼沒有合法目的；特別是對於不正確的登錄。它可能是偶然記錄的-我出於其他目的隨意查看了 auth.log ，並看到用戶不小心將密碼輸入了登錄字段（並且我確實記錄了登錄字段以查看嘗試登錄的帳戶）。但是我通知了用戶，他們更改了密碼。

在另一方面，作為用戶，保守的假設是說每個隨機應用程序您使用的是記錄每個錯誤嘗試密碼。這就是為什麼在循環使用少量（三個）隨機密碼而不是在加密密碼列表中（可能使用keepass之類的工具）管理的每個站點使用唯一密碼時是一個壞主意的原因。

在此說明中，businessinsider.com指控Mark Zuckerberg（facebook創始人）使用來自 thefacebook.com （facebook的早期版本）的登錄名/密碼組合日誌（甚至來自不正確的條目）入侵正在調查他的哈佛緋紅色記者的電子郵件帳戶。 摘自每日郵報：：

但是，在進一步提出索賠要求之後，扎克伯格顯然擔心報紙最終將在他身上留下一個故事。

Business Insider聲稱他隨後告訴朋友他是如何侵入Crimson員工的帳戶的。

據稱他告訴朋友，他使用TheFacebook.com來搜索稱自己為Crimson員工的成員。

然後，據稱他檢查了登錄失敗的報告，以查看是否有任何Crimson成員曾經在TheFacebook.com中輸入錯誤的密碼。

也有些相關 xkcd（假設惡意帳戶也記錄了嘗試輸入的密碼，以提高其成功率）。

記錄身份驗證嘗試失敗以及針對該用戶的事實並不罕見。事實證明，這在法醫故障排除中非常有用。從安全的角度來看，記錄被拒絕的密碼是非常罕見且不負責任的。此信息無濟於事，可以對您不利。

編輯
您希望能夠期望您享有良好聲譽-組織好的公司不會出售您的密碼信息，因為如果發現這對他們來說確實是不好的。但是為了您自己的安全，您應該始終準備好將自己提供給您的信息用於對自己的使用，因為這總是有可能的。對於您無法可靠建立聲譽的任何組織來說，這都是兩倍。

上面有一些很棒的答案，所以這只是美國政府警察對處理機密信息的計算機系統進行管理的一種快速而簡化的觀點。

（1）必須保護整個計算機系統達到該計算機上任何數據所需的最高標準。這包括存儲在計算機上或計算機外的日誌。

例如，如果您有意或無意將“秘密”數據放在計算機上，則該計算機的每個部分現在都必須受到保護。作為“秘密”信息。即使您有一台未分類的計算機（例如在家裡）收到了包含分類信息的電子郵件，情況也是如此。整個計算機及其上的所有內容現在都歸為“秘密”。

（2）該計算機的密碼也歸為所有數據所需的最高保護級別。

例如，如果該計算機上有任何“秘密”數據，則無論密碼存儲在哪裡，它也需要相同級別的保護。

適用於您的問題，無論您使用的是哪種標準（例如PCI-DSS，NISPOM等），如果要求對密碼進行保護（例如散列和加鹽），則日誌中不能使用明文形式的密碼。

因此，總而言之，如果將任何監管方案應用於您所討論的計算機系統，並且該監管規定您不能使用明文密碼，則不能在其中使用明文密碼。您的日誌。

不。用戶通常擁有一組密碼，並在密碼中循環瀏覽以找出給定站點所使用的密碼。記錄只是意味著當您受到攻擊時，他們的候補者就會被添加到任何打您的人的破解池中。