Perché "Password dimenticata" è cattiva?

Question

mi sono imbattuto in questo statement

Non usare "password dimenticata" funzionalità. Ma se è necessario, assicurati che fornisca solo le informazioni all'utente effettivo, ad es. utilizzando un indirizzo email o una domanda di prova che l'utente legittimo già fornito in passato; non consentire all'utente corrente di modificare le informazioni sull'identità finché non è stata fornita la password corretta .

Qualcuno può chiarire perché le password dimenticate sono un rischio? Ho intenzione di gestirlo inviando all'utente un link nella sua e-mail per reimpostare la password, ma non fornirà loro la vecchia password (dal momento che è comunque hash), e non chiederà loro la vecchia password al momento del ripristino. C'è qualcosa di rischioso nel mio approccio?

Answer 1

Il tuo approccio sembra molto sicuro per me :) Ovviamente dovrebbe essere un collegamento una tantum!

Anche il messaggio/la pagina "succes" e "indirizzo email non trovato" devono essere uguali. E avere un testo anonimo.

come:

"Se il tuo indirizzo di posta elettronica è nel nostro sistema abbiamo inviare una e-mail"

In questo modo, qualcuno sarà in grado di determinare se l'indirizzo e-mail è nel vostro sistema oppure no !

Answer 2

Se Charlie può leggere e-mail di Alices, può anche accedere a tutti i siti che offrono la funzionalità "password persa".

Answer 3

L'invio di un collegamento in un messaggio di posta elettronica è in realtà conforme alle indicazioni fornite.

Ciò a cui si sconsiglia è la pratica di consentire agli utenti di reimpostare la propria password senza dover avere alcuna conoscenza aggiuntiva, ad esempio un pulsante che reimposterà la password senza costringere l'utente a fare clic sul collegamento nella propria e-mail. Non sono sicuro di aver mai visto un sistema del genere, ma è certamente una cattiva idea =).

Answer 4

L'approccio è assolutamente corretto, a condizione che non si memorizzi la password.

Chiedere la domanda di sicurezza è assolutamente negativo, in quanto è incline a essere aggirato solo indovinando una risposta.

Solo una piccola modifica: anche se potrebbe essere difficile catturarli tutti, dovresti cercare di impedire l'uso di account di posta elettronica di mailinator (o indirizzi email da servizi simili) perché mailinator + ha dimenticato la password = disastro.

Answer 5

Fintanto che si invia il collegamento all'e-mail che si è memorizzato nel sistema, si dovrebbe essere OK - ed è quello che mi aspetterei da un sistema.

Vorrei anche inviare una conferma "hai aggiornato la password" allo stesso indirizzo.

Inoltre, se l'utente cambia il loro indirizzo di posta elettronica che si potrebbe prendere in considerazione l'invio di una e-mail all'indirizzo vecchio affermando che è stato modificato per la nuova uno.Forse un po 'fastidioso, ma fornirebbe un punto in più in cui qualcuno potrebbe individuare se il loro account è stato compromesso.

Answer 6

La tecnica più fastidiosa sarebbe il seguente: si sceglie dimenticato la password, viene chiesto per email e ottenere la propria password (che molti usano utente per il porno e il loro online banking;)) torna in chiaro invece di impostare una nuova uno.

Vorrei semplicemente copiare i metodi di grandi giocatori, come paypal o google. Penso che ora dovrebbero fare quello che fanno. Il caso più comune dovrebbe essere: password dimenticata - ottenere un collegamento alla propria email dove è possibile impostarne uno nuovo o generare uno casuale, sicuro (che l'utente cambierà immediatamente a 1234).

Come già ci siamo: non restituire mai qualcosa come "password errata", poiché ciò implica che esiste almeno il nome utente.

Answer 7

È piuttosto una dichiarazione radicale e solo una pessima idea se non si comprendono i rischi coinvolti e si è sicuri che ci sia un beneficio netto (come nella maggior parte delle cose nella vita).

Non memorizzare mai le password in una forma recuperabile. Anche consentire al cliente di memorizzare un suggerimento sul sistema mette a rischio il cliente. Le password devono sempre essere archiviate utilizzando un meccanismo non reversibile, ad esempio un hash. Dato che è il caso, non è possibile recuperare la vecchia password del cliente e inviarla a loro.

Reimpostare la password su richiesta a un valore casuale, quindi inviare via e-mail quel valore al cliente presenta l'opportunità di effettuare attacchi Denial of Service contro singoli accessi (anche nel caso in cui si disabiliti un account dopo un numero di login fallito tentativi).

Questo lascia solo l'opzione di generare un accesso alternativo per il cliente e inviarlo via email a loro - e contrassegnare l'account per costringere il cliente a selezionare una nuova password al prossimo accesso.

Tutti questi approcci delegano la sicurezza dell'account del cliente al sistema di posta elettronica del cliente (e tutti gli altri componenti di posta elettronica e di rete tra il server e la casella di posta del cliente) che possono, nel migliore dei casi, essere molto deboli - di certo non è niente può fornire qualsiasi garanzia di sicurezza a meno che non si controlli all dell'infrastruttura.

C.