Temat: pytanie o konieczność hashowania haseł
Paweł Litwiński:
Karol Kij:
Moim zdaniem:
Po pierwsze hasło użytkownika to nie dana osobowa, więc nie ma nic o nim w przepisach.
Nieprawda, hasło użytkownika najczęściej będzie jego daną osobową. Poza przypadkami, kiedy dwóch lub więcej użytkowników będzie miało to samo hasło.
hm... no tak, ale tak samo hash wyliczony z hasła jednoznacznie osobę określa, bo każda osoba ma unikalny hash, a przecież nie będziemy hashować hashy
Natomiast złamanie hasła może dać dostęp do danych osobowych, więc należy to ująć w polityce bezpieczeństwa. Jeśli oszacujesz ryzyko i wykażesz, iż mimo trzymania hasła w postaci jawnej dane osobowe są bezpieczne (co na pewno będzie trudne), to nie widzę przeszkód w takim stanie rzeczy. Zresztą jeśli ktoś włamie się do bazy danych, to już hasło użytkownika nie będzie mu potrzebne, ponieważ pobierze sobie wszystkie dane użytkowników. Dlatego uważam, iż haszowanie hasła z punktu widzenia danych osobowych nie ma znaczenia.
I tak, i nie. Na pewno nie ma w systemie prawnym przepisu, który by to wprost nakazywał. Natomiast nie można powiedzieć, że taka praktyka nie ma znaczenia - prowadzi do zwiększenia poziomu bezpieczeństwa danych osobowych, więc ma znaczenie. Ale ponieważ przepisy tego nie nakazują, decyzja o ew. wdrożeniu została pozostawiona administratorowi danych.
OK, dzięki. Ale nie zgodzę się, że to zwiększa bezpieczeństwo. Jeśli ktoś może obejrzeć hasła użytkowników, bo ma kopię bazy, to może też obejrzeć wszystkie inne rzeczy. Najwyżej nie może łatwo zobaczyć hasła w postaci jawnej, ale nie oszukujmy się, najczęściej stosowana metoda, czyli md5, wcale nie zabezpiecza przed szybkim odkryciem postaci jawnej.
Chodziło mi raczej o potwierdzenie, że w przepisach tego nie ma. Dzięki.