パスワードを忘れたとき、なぜ「元のパスワード」は教えてもらえないの？？

パスワードを忘れたとき、なぜ「元のパスワード」は教えてもらえないのか— 運営側もわからないんです...

パスワードを忘れて「再設定」の手続きをしたとき、

「新しいパスワードを設定してください」

とは言われても、

「あなたのパスワードは◯◯です」

と教えてもらえたことは無いはずです。

不便に感じるかもしれませんが、実はこれ、そのサイトがまともに作られている証拠です。

まともなシステムは、パスワードをそのままの形では保存していません。

「ハッシュ化」

という処理を通して、元に戻せない形に変換してから保存しています。

ハッシュ化は一方通行の変換で、パスワードから変換後の文字列は作れますが、

変換後の文字列から元のパスワードを直接計算することはできません。

ログインのときは何をしているかというと、

【あなたが入力したパスワード】

をその場で同じ方法で変換し、

【保存してある変換済みの文字列】

と一致するかを比べています。

つまりサイト側は、

「合っているかどうか」

は判定できるのに、

「元のパスワードが何か」

は自分でも知らない状態なのです。

だから、教えたくても教えられません。

なぜこんな面倒なことをするのか。

万が一サイトのデータが盗まれても、変換済みの文字列しか流出しないようにするためです （実際にはさらに、ソルトと呼ばれる仕組みで推測攻撃への耐性も上げています）。

ここから、逆のことも言えます。

問い合わせたら元のパスワードをそのまま教えてくれたり、

登録直後に「あなたのパスワードは◯◯です」とメールに平文で書いてきたりするサービスは、

パスワードをそのまま保存している可能性があります。

そういうサービスでは、他で使っているパスワードを絶対に使い回さないでください。

ささいな見分け方ですが、サービスの安全意識がよく表れるポイントです。