@leventp Abi, uzman bir yazılım geliştirici olarak şifre ile ilgili olaya bir açıklık getirmek istiyorum. Burada amacım herhangi bir şekilde bir firmayı korumak veya savunmak değil, sadece yapılan işin güvenlikli olabileceğini de göstermek. Ayrıca Levent Ağabey'in 06:40'ıncı dakikada anlatmaya başladığı ve 07:00'da "Vatan Bilgisayar benim şifremi bilemez" cümlesi için yazmak istedim. Sonuçta Vatan Bilgisayar ( firma diyerek kısaltacağım ) sizin şifrenizi bilmeden de kontrol yapabilir. Ben de bunun nasıl olabileceğini açıklamak istiyorum.
Önce kabullerimiz:
1. Firmanın müşterilerinin şifrelerini hash olarak tutuyor.
2. Firmanın müşterilerinin internete düşmüş kullanıcı adı, email ve şifrelerini bir şekilde sahip olmuş. Ki sanırım herkes internetten bu bilgilere ulaşabiliyor. En azından bana eski şifrelerimden birini gönderen birçok mail adım. Demekki bu bilgiler etrafa saçılmış.

Bu noktada güvenlik zaafiyeti oluşturmadan ve müşterilerinin güvenliğini en üst noktaya çıkartmak isteyen bir firma şunu yapabilir: İnternetten bulunan email ve şifreler ile kendi veri tabanını karşılaştırıp, uyan müşterileri uyarabilir. Bunun için müşterinin şifresini bilmeye gerek yok. Ama yine de 2 yolla kontrol edilebilir.
1. İnternetten elde edilen şifrenin hash'i alınıp veri tabanındaki ile karşılaştırılabilir. Bu şekilde problem olacak müşteriler belirlenip, bu müşterilere giriş sırasında uyarı verilebilir. Ki bu işlem offline bir yöntem olacaktır. Yani bu taramayı bütün müşteriler için bir kere çalıştırıp, sonrada sonuçlar bir tabloda toplanabilir.
2. Müşteri giriş yaptığında önce müşterinin girişi sağlanır. Bu noktada müşterinin şifresi açık olarak bilindiği için giriş yapılabildiği kesinleştikten sonra açık şifre internetten bulunan ile eşleşiyor mu diye kontrol edilebilir. Bu daha online bir yöntem olacaktır.

Bu şekilde firma sizin açık şifrenizi saklamadan da ( internete düşmüş olan hariç ) çok rahatlıkla ilgili kontrolleri yapabilir.