Che tipo di meccanismo di reset / password dimenticata (verifica) della password consiglieresti

Personalmente, le domande segrete mi infastidiscono molto. Le domande predefinite sono così facili che qualcuno potrebbe semplicemente google e / o indovinare la risposta. O la domanda è così oscura, che io non conosco la risposta giusta e ne do una falsa (che porta a problemi se davvero cerchi di recuperare la tua password) ... davvero non riesco a ricordare il nome del mio insegnante in 1 ° grado!

Peggio ancora, se lasci che gli utenti definiscano la loro domanda e risposta, faranno cose davvero stupide (come mettere la password nella domanda!).

La verifica email è sufficiente per la maggior parte delle applicazioni

Potrebbe non essere perfetto ma la maggior parte della gente si aspetta e accetta questo tipo di approccio. Nel complesso, un buon processo è il seguente

1. L'utente fa clic su "Password dimenticata"
2. Il sistema genera un token monouso (UUID), lo memorizza nel database contrassegnandolo come nuovo
3. Email contenente un link di reimpostazione della password HTTPS con l'UUID inviato all'account di posta elettronica dell'utente. Questo è il punto debole perché presuppone che l'utente sia autorizzato dal proprio accesso al proprio account di posta elettronica, non dalle informazioni segrete precedentemente condivise.
4. L'utente fa clic sul collegamento e il sistema verifica che l'UUID non sia utilizzato
5. Supponendo che tutto vada bene, l'utente passa attraverso il processo di reimpostazione della password, che per prima cosa contrassegna l'UUID come usato e quindi accetta gli aggiornamenti delle password.
6. La password viene salata e sottoposta a hash e quindi archiviata nel database. La versione in chiaro della password non viene mai mantenuta. mai.

Dati preziosi?

Se i dati che stai cercando di proteggere sono molto più preziosi (dichiarazioni dei redditi, coordinate bancarie, ecc.), allora hai bisogno di un processo di autorizzazione implicito più severo (vedi precedente fase 3). Questo di solito è sotto forma di una lettera contenente l'UUID (solitamente nascosto in una busta antimanomissione). Si prevede quindi che l'utente attivi la procedura di reimpostazione della password e inserisca manualmente l'UUID.

Dati estremi

Infine, se quanto sopra non è sufficiente, ti troverai nei regni della gestione delle identità. Scoprirai la prova di indirizzo, patente di guida, passaporto, certificato di nascita, referenze personali e tutti gli altri fronzoli necessari per stabilire oltre ogni ragionevole dubbio che l'utente è chi dicono di essere. E poi procedi al passaggio 5.

Per amor di Terra, non usare domande segrete. In una settimana di solito non ho idea di cosa avrei potuto rispondere lì meno in un anno.

La verifica via email andrà benissimo.

E non inviare mai la password in testo semplice per email. Non memorizzare mai la password, memorizzarne un hash.

Utilizza la verifica della posta elettronica.

L'approccio Secret Question ha più problemi.
Potrei aver dimenticato la risposta
Avrei scritto la risposta in modo diverso (con una parola chiave maiuscola e quel programmatore avrebbe dimenticato un equalsIgnorecase )

Il vero problema è che l'utente ha dimenticato la password. E l'approccio alla domanda segreta vuole che ricordi altre 4 cose da quando ha dimenticato qualcosa.

Molti utenti finiscono col prendere uno screenshot della schermata di domanda di domanda per riferimento futuro - lo stesso scopo della password è perso.