"Password dimenticata" - Come gestirla?

18

Ho letto questa risposta e ho trovato un commento insistendo per non inviare la password via e-mail:

le password non dovrebbero poter essere recuperate via e-mail, lo odio. Significa che la mia password è memorizzata in testo normale da qualche parte. dovrebbe essere ripristinato solo.

Questo mi solleva la questione della gestione dell'opzione Password dimenticata?

Ad ogni costo, la password non elaborata deve essere visualizzata in qualsiasi interfaccia utente in modo che l'utente sia in grado di leggerla. Quindi quale sarebbe il modo di gestire "Password dimenticata"

— Gopi
fonte

Ho appena trascorso 15 minuti a spiegare la funzione di password dimenticata di PHPBB.

— Peter Turner,

Possibile duplicato del processo di reimpostazione

— moscerino

1

@gnat Hai avuto la possibilità di verificare quale era la più vecchia delle due?

— Gopi,

1

L'età delle domande di @TechJerk non ha importanza come spiegato qui

— moscerino

35

Una buona progettazione dell'applicazione non sarà in grado di recuperare esplicitamente la password di un utente. Questo perché di solito viene memorizzato dopo che è stato eseguito attraverso una sorta di hash che è un'operazione a senso unico.

Il modo migliore per gestire la password persa è eseguire un ripristino, inviare tramite e-mail all'account degli utenti un collegamento con un parametro generato che identifica questo come un ripristino della password valido per l'account in questione. A questo punto possono impostare una nuova password.

Ciò presuppone che tu abbia un indirizzo e-mail degli utenti in archivio.

— Chris
fonte

Esistono ulteriori "migliori pratiche" che, sebbene non critiche (come non memorizzare le password in primo luogo), dovrebbero essere in atto se il tempo lo consente, incluso il token di accesso temporaneo che scade su determinati eventi e nel tempo (in modo che l'account di qualcuno non è compromesso se la sua casella di posta è).

— Steven,

7

Non è necessario memorizzare la password principale dell'utente come testo normale, ma È possibile memorizzare una password temporanea come testo normale, ad es

l'utente reimposta la password -> la password temporanea viene creata -> la password temporanea viene inviata via e-mail -> l'utente è costretto a cambiare password al prossimo accesso (forse la nuova password non può essere password temporanea)

— Viper_Sb
fonte

2

L'ho fatto in diversi siti. Mentre puoi sostenere che uno snooper della posta può ottenere la password, può anche ottenere qualsiasi altro token temporaneo ecc. Questo approccio è più semplice per l'utente (possono copiare e incollare o persino digitare la password temporanea) e non subisce un colpo di sicurezza.

— Kate Gregory,

A meno che qualcuno non stia utilizzando un modo sicuro per connettersi al server di posta (ad esempio posta Web tramite HTTPS o POP3 su TLS), tale comunicazione potrebbe essere facilmente sniffata. In tal caso alcuni "haX0r" potrebbero facilmente accedere all'account di un altro utente. Ecco perché è una cattiva idea. Il collegamento di ripristino deve essere inviato come suggerisce Chris e prima di consentire all'utente di modificare la propria password, è necessario porre una domanda di sicurezza accompagnata. Ancora non sicuro al 100% (come molte volte le risposte a tali domande di sicurezza potrebbero essere facilmente indovinate), ma non riesco a vedere alcuna soluzione migliore.

— Paweł Dyda,

2

@Pawel Dyda Puoi anche annusare un link di reset, se la tua email viene sniffata penso che avere una password temporanea nella tua e-mail sia l'ultima delle tue preoccupazioni.

— Viper_Sb,

Ecco perché ho scritto sulla domanda di sicurezza.

— Paweł Dyda,

5

Il commento è contrario all'invio della password originale tramite e-mail, non all'invio di nulla tramite e-mail. Se l'istituzione può inviare la password originale, significa che ce l'ha, e questo è un problema di sicurezza. Il commentatore non ha discusso contro l'invio di una password tramite e-mail, perché nella maggior parte dei casi è praticamente necessario.

Il modo corretto è assegnare una nuova password utilizzabile una volta, per qualsiasi motivo. Forse è già contrassegnato come scaduto dal sistema, forse accede semplicemente a una pagina per cambiare la password che viene generata dinamicamente una volta e una sola volta, qualunque cosa.

— David Thornley
fonte

4

La cosa che mi piace di più è che l'applicazione invii un'e-mail all'utente sull'indirizzo e-mail registrato con un collegamento una tantum valido per X ore che fornisce una pagina "Modifica password".

L'utente può quindi impostare la password come preferisce senza rischiare di averla inserita in un'e-mail.

4

Il mio fornitore di carte di credito ha un'opzione "password dimenticata" che ti pone alcune domande di sicurezza (questo non è immensamente sicuro in sé ma molte banche lo fanno) e quindi genera un nuovo codice e ti dà metà sullo schermo ed e-mail la seconda metà a voi. In questo modo non è possibile interrompere l'account senza accedere sia alla pagina Web sia all'indirizzo e-mail.

Ho chiesto un po 'di questo dal punto di vista dell'usabilità qualche tempo fa.

— glenatron
fonte