質問: 一般に提供されている任意のWebアプリケーションについて、こちらのクレデンシャル(パスワードなど)をデータベースに保存する際に暗号化しているかどうかを、開発者側からでは無くユーザー側から確認できる手段は存在しますか?
回答: ユーザといってもどういう立場なのかで違いますが 悪意あるユーザー(クラッカー)として盗みやすいサイトを探している、のであればこの場でお手伝いしないほうが良さそうです。 一般ユーザーとして「このサイトにパスワードを登録して漏れないかを心配している」のであれば 一番簡単には「パスワードを忘れた」画面で、サイト側がどういう挙動を示すかで調査することができるでしょう。 「現パスワードがメールで届く」サイトはパスワードを平文保存していると考えてよいです(非可逆変換していれば Web アプリケーション自体も元パスワードを知ることができないため)セキュリティ意識0なので近づかないほうが良さそうです。 「新しいパスワードはこれです」をメールで送ってくるサイトは(パスワードをきっちり非可逆変換して保存しているにせよ)セキュリティ意識が薄いと考えてよいです。 「このメールが届いてから*分以内に添付 URL にアクセスしたら新パスワードを設定できます」だったらそこそこ信頼してよいでしょう。当該 URL が https の場合に限ります。 サイト側がどんな言語やデータベースで Web アプリを組んでいてどうこう、を調査する行為はそのままアタック行為ですから、試すなら相手の了解を取ってから。