"Passwort vergessen" - Wie gehe ich damit um?

18

Ich habe diese Antwort gelesen und einen Kommentar gefunden, der darauf besteht, kein Passwort per E-Mail zu senden:

Passwörter sollten nicht per E-Mail abgerufen werden können, das hasse ich. Das bedeutet, dass mein Passwort irgendwo im Klartext gespeichert ist. es sollte nur zurückgesetzt werden.

Dies wirft die Frage nach der Option Passwort vergessen?

Das unformatierte Kennwort muss auf jeder Benutzeroberfläche angezeigt werden, damit der Benutzer es lesen kann. Wie würde man also mit "Passwort vergessen" umgehen?

programming-practices security email passwords Gopi
quelle
Ich habe gerade 15 Minuten damit verbracht, die PHPBB-Funktion zum Vergessen von Passwörtern zu erklären.
Peter Turner
Mögliches Duplikat des Passwortrücksetzvorgangs
Dienstag,
1
@gnat Hattest du die Gelegenheit zu überprüfen, welches der beiden ältesten war?
Gopi
1
@TechJerk Alter der Fragen spielt keine Rolle , erklärt wie hier
gnat

Antworten:

35

Ein gutes Anwendungsdesign kann ein Benutzerkennwort nicht explizit wiederherstellen. Dies liegt daran, dass es normalerweise gespeichert wird, nachdem es eine Art Hash durchlaufen hat, bei dem es sich um eine Einwegoperation handelt.

Der beste Weg, um mit einem verlorenen Passwort umzugehen, besteht darin, ein Zurücksetzen durchzuführen. E-Mail an das Benutzerkonto sendet einen Link mit einem generierten Parameter, der dies als gültiges Zurücksetzen des Passworts für das betreffende Konto kennzeichnet. Zu diesem Zeitpunkt können sie ein neues Passwort festlegen.

Dies setzt voraus, dass Sie eine E-Mail-Adresse des Benutzers gespeichert haben.

Chris
quelle
Es gibt zusätzliche "Best Practices", die zwar nicht kritisch sind (wie das Speichern der Kennwörter an erster Stelle), jedoch vorhanden sein sollten, wenn es die Zeit erlaubt, einschließlich des Ablaufs des temporären Zugriffstokens bei bestimmten Ereignissen und im Laufe der Zeit (damit das Konto einer Person abläuft) wird nicht beeinträchtigt, wenn sein Posteingang ist).
Steven
7

Sie sollten das Hauptkennwort des Benutzers nicht als Klartext speichern, sondern KÖNNEN ein temporäres Kennwort als Klartext speichern, d. H

Benutzer setzt Kennwort zurück -> temporäres Kennwort wird erstellt -> temporäres Kennwort wird per E-Mail gesendet -> Benutzer muss Kennwort beim nächsten Anmelden ändern (neues Kennwort kann möglicherweise nicht temporäres Kennwort sein)

Viper_Sb
quelle
2
Ich habe das an mehreren Stellen gemacht. Während Sie argumentieren können, dass ein Mail-Snooper das Passwort erhalten kann, kann er auch jedes andere temporäre Token usw. erhalten, das Sie per E-Mail erhalten würden. Dieser Ansatz ist für den Benutzer einfacher (er kann das temporäre Kennwort kopieren und einfügen oder sogar eingeben) und nimmt keinen Sicherheitstreffer hin.
Kate Gregory
Solange nicht jemand eine sichere Methode zum Herstellen einer Verbindung zum Mailserver verwendet (z. B. Webmail über HTTPS oder POP3 über TLS), kann eine solche Kommunikation leicht überwacht werden. In diesem Fall könnte sich "haX0r" leicht in das Konto eines anderen Benutzers einloggen. Deshalb ist es eine schlechte Idee. Der Link zum Zurücksetzen sollte gesendet werden, wie Chris vorschlägt, und es sollte eine begleitende Sicherheitsfrage gestellt werden, bevor der Benutzer sein / ihr Passwort ändern kann. Immer noch nicht 100% sicher (so oft Antworten auf solche Sicherheitsfragen leicht zu erraten waren), aber ich kann keine bessere Lösung finden.
Paweł Dyda
2
@Pawel Dyda Ein Link zum Zurücksetzen kann auch abgehört werden, wenn Ihre E-Mail-Adresse abgehört wird. Ich denke, ein temporäres Kennwort in Ihrer E-Mail-Adresse ist die geringste Sorge für Sie.
Viper_Sb
Deshalb habe ich über Sicherheitsfragen geschrieben.
Paweł Dyda 28.10.10
5

Der Kommentar ist gegen das Senden des ursprünglichen Passworts per E-Mail und nicht gegen das Senden von E-Mail-Nachrichten. Wenn die Institution das ursprüngliche Passwort senden kann, bedeutet dies, dass sie es hat, und das ist ein Sicherheitsproblem. Der Kommentator sprach sich nicht gegen das Versenden eines Passworts per E-Mail aus, da dies in den meisten Fällen ziemlich notwendig ist.

Der richtige Weg ist, ein neues Passwort zu vergeben, das einmalig verwendet werden kann, aus welchem ​​Grund auch immer. Vielleicht ist es bereits vom System als abgelaufen markiert, vielleicht meldet es sich einfach auf einer Seite an, um das Kennwort zu ändern, das dynamisch einmal und nur einmal generiert wird, unabhängig davon.

David Thornley
quelle
4

Was mir am besten gefällt, ist, dass die Anwendung eine E-Mail an den Benutzer unter der registrierten E-Mail-Adresse mit einem einmaligen Link sendet, der für X Stunden gültig ist und eine Seite zum Ändern des Passworts enthält.

Der Benutzer kann das Passwort dann nach Belieben festlegen, ohne das Risiko einzugehen, dass es in eine E-Mail eingefügt wird.


quelle
4

Mein Kreditkartenanbieter hat die Option "Passwort vergessen", mit der Sie einige Sicherheitsfragen stellen (dies ist an sich nicht sehr sicher, aber viele Banken tun dies). Anschließend wird ein neuer Code generiert, und Sie erhalten die Hälfte auf dem Bildschirm und erhalten eine E-Mail an die zweite Hälfte Sie. Auf diese Weise können Sie das Konto nicht ohne Zugriff auf die Webseite und die E-Mail-Adresse auflösen.

Ich habe vor einiger Zeit ein wenig darüber aus der Sicht der Benutzerfreundlichkeit gefragt .

Glenatron
quelle