这是不是能证明 QQ 现在还是明文保存密码的？

[wenhaoy]

弱密码检测 https://aq.qq.com/cn2/psw_strength_check/pswcheck_qq_psw

[Rice]

@wenhaoy 你注册修改密码的时间也是会上传明文密码的啊

[wenhaoy]

@Rice 上传明文密码没问题。

现在问题是，我隔了两年之后，登录到腾讯安全，他能检测我的密码强度。现在在讨论腾讯是怎么做到的。

[wenhaoy]

@geelaw SHE/FHE 是啥？

[FFLY]

@wenhaoy 假设数据库有相关字段记录密码强度呢，比如弱密码 1，非弱密码 0，这样子。

[FFLY]

让我想到了，某些 linux 系统，安装的时候，如果设置一个弱密码，他不会不给你装，而是需要 done 两次提交，我觉得腾讯搞个字段记录数据强度是合理的吧。

[goodboy531]

主要就是支持解密，有秘钥就可以解密

[wenhaoy]

@FFLY 这个有可能。但是有很多局限，比如某个人在十年前设置了一个仅带字母、数字的密码，系统至非弱密码 0。到现在这可能已经是一个弱密码了。这样的话会误报。

[LaudOak]

这个估计是有密码更改和对应强度记录

[kiddult]

@FFLY 你没明白加盐的机制，如果用固定盐当然没问题，随机盐的话，生成库的代价太大了，还不如登录的时候校验

[kiddult]

@hyperdak288 真买不起，建议你查一下随机盐，除非腾讯真蛋疼的用固定盐，不然没戏

[wenhaoy]

@LaudOak 有可能，就是每次用户修改密码，或者登录的时候，有机会拿到到明文密码时刷新一次强度记录。

[BlackCat02]

@changwei 没人注意到这楼吗？想要做到只提供密码片段就能对比，这恐怕不存储明文做不到吧？

[Tink]

r 弱密码的 hash 做成一个表然后对比

[IllBeBack]

@wenhaoy 你的链接会跳转，我只能找到这个页面：
https://aq.qq.com/cn2/psw_strength_check/pswcheck_index

这个页面检测密码是要登录的。如果不登录就可以检测密码，那腾讯脑子进水了吧。盗号的先检测一下是不是弱密码，再字典爆破，省事多了。

如果要登录检测，明文密码不就到了服务器吗？

腾讯推出这个功能后，只要你登录过，你的密码是强是弱，他们就可以记下来了。

[dot]

@wenhaoy 权重是在一系列测评中的占比，这个可以调整的……不过，你有发现分值随着计算机能力动态变化么……

[wenhaoy]

@IllBeBack 之前讨论的是因为“本次登录”是可以通过快速登录（点头像）登陆的，并没有明文密码传输。

后来才发现有可能是平时每次登录的时候，都刷新一次密码强弱设置。

[wenhaoy]

@dot 今天刚发现这个玩意，没关注过。

[chztv]

既然说到了快速登录，我认为这是非常一个有问题的功能
今年在办公室里，遇到过一个快速登录的 Bug，我同事的 Mac 居然在打开登录界面的时候，出现了我的 QQ 快速登录头像，当然也可以正常登录成功。后来排查，发现可能处于同一个 Wi-Fi、用了同 WiFi 下一个翻 Q 的 Http 代理。

[loading]

要假设都是明文保存，这样就安全了。

[fulvaz]

@wenhaoy 不是除非, 就是这样