Password dimenticata o link di reset, che è più sicuro per email?

È molto più semplice accedere al corpus di e-mail esistente piuttosto che accedere al flusso in entrata. Ad esempio, ottenere un paio di minuti di accesso al sistema di qualcuno consente una facile ricerca attraverso la loro posta elettronica. Quindi, nel caso in cui un utente malintenzionato abbia accesso alla vecchia posta, ma non allo stream di nuova posta in arrivo:

Stai facendo affidamento sull'utente che cambia la password dopo averla ricevuta (improbabile, dato che hai detto loro di cosa si tratta), o eliminando (in modo permanente, non archiviando o spostando in una cartella "cestino", anche improbabile ) il messaggio di promemoria.

Se ciò non accade, allora potrò accedere all'account e-mail dell'utente qualche tempo dopo, quindi (tempo limitato / uso limitato, forse anche limitato in modo che l'aggressore non possa facilmente usarlo) il link di reset non sta andando essere utile a me, ma la password (probabilmente ancora valida) è certamente.

Inoltre, inviandomi la password in testo semplice, stai dimostrando di averlo memorizzato da qualche parte accessibile. Nella maggior parte dei casi, non c'è bisogno di questo, perché non è necessario crittografare la password (e sale / pepe), è sufficiente averlo hash. Se è crittografato, chiunque abbia accesso al database e alla chiave di decrittografia (ad esempio probabilmente la maggior parte del personale o chiunque rubi il codice insieme al database) è in grado di ottenere la password in testo semplice. Se è sottoposto a hashing, dovrai farlo prima dell'hashing (ad esempio durante una sessione di accesso).

Inoltre, anche se la gente non dovrebbe, è molto comune usare la stessa password (o password molto simili) su più siti. Ciò significa che anziché fornire un modo per entrare in un solo account, stai fornendo un modo per entrare in molti.

Per l'altro caso, in cui l'attaccante ha accesso a tutta la posta in arrivo (potenzialmente anche la possibilità di rimuovere la posta in arrivo prima che l'utente la veda), nessuno di questi è sicuro. L'account email è ad alto rischio , perché se hai quel tipo di accesso, quindi puoi probabilmente andare in ogni sito con cui l'utente ha un account e generare una reimpostazione della password. Per evitare questo, è necessario utilizzare qualcosa di diverso dal tuo account e-mail per ottenere l'accesso, come l'autenticazione a due fattori.

Si noti che anche in quest'ultimo caso, un link di ripristino è ancora superiore: se l'utente malintenzionato cambia la password dell'utente tramite un link di ripristino, quando l'utente prova ad accedere, scoprirà che qualcosa non va (anche in ritardo, ma almeno lo sanno). Se stai solo fornendo la password, l'utente non ha idea che l'autore dell'attacco abbia silenziosamente ottenuto l'accesso.

Vale la pena aggiungere che se si invia la password di un utente in chiaro, è possibile che si stia inviando una password che utilizza anche su altri siti - anche se si costringe l'utente a modificare la password sul proprio sito al prossimo accesso, l'utente ha fatto loro non favoriscono affatto.

Non è etico archiviare le password in testo semplice se si ha la minima preoccupazione per i propri utenti. Dovresti conservare degli hash salati sicuri. L'invio di una password in testo non crittografato può indurre gli utenti alla sicurezza a smettere di utilizzare il servizio (anche se gli utenti attenti alla sicurezza non riutilizzano le password, semplicemente non amano i servizi che sono chiaramente consapevoli di non sicurezza).

su come implementare una reimpostazione della password; generalmente per un sito moderatamente sicuro (ad esempio la carta di credito), è necessario che rispondano ad alcune domande di sicurezza di base (ad esempio, il nome da nubile della madre) e verificano che abbiano il controllo del proprio account e-mail o numero di telefono, come forma di autenticazione a due fattori. Il link dovrebbe essere valido solo in una finestra temporale breve (da ore a giorni) e valido solo una volta (ad es. Include un token creato a caso che scade dopo il primo utilizzo e dopo un periodo di tempo).

Informi anche che la password è stata ripristinata (e anche se la loro e-mail è stata compromessa, troveranno la prova di un aggressore quando non potranno più accedere con la vecchia password). L'invio della password (senza modificarlo) significa che questo attacco può essere fatto di nascosto senza che l'utente lo sappia (se si dice che le e-mail sono state cancellate).

È meglio inviare un link per la reimpostazione della password.

Alcuni siti hanno il modulo della password dimenticata che ripristina immediatamente la password su un valore casuale e che viene inviata via email all'utente. Questo ha un difetto denial-of-service - qualcuno che non è il proprietario dell'account può causare il reset della password. Il link per la reimpostazione della password evita questo, perché la password viene reimpostata solo dopo che un utente ha fatto clic sul link e devono avere accesso all'indirizzo email per farlo.

Se si desidera un po 'di sicurezza contro un utente malintenzionato che ha accesso alla posta elettronica dell'utente, l'approccio abituale è di avere anche domande di sicurezza. Queste sono domande come "Qual era il nome del tuo animale domestico". E il momento di chiederlo è dopo che l'utente ha fatto clic sul link per reimpostare la password nell'email.

Alcuni buoni consigli qui: link

È meglio inviare un link di ripristino.

Oltre ai motivi forniti da @Tony Meyer e @mhswende, la pagina al link di ripristino può richiedere un'autenticazione aggiuntiva. Molti siti richiedono agli utenti di rispondere a "domande di sicurezza" esattamente per questo scopo (il vecchio standard pre-computer richiede il nome da nubile di tua madre). I siti che hanno il tuo numero di telefono potrebbero, nella loro pagina di reimpostazione della password, richiedere di inserire un codice che hanno inviato via SMS. Le istituzioni finanziarie possono porre domande su vecchi documenti finanziari (morgages precedenti, ecc.).

Non è banale trovare un buon meccanismo di autenticazione secondario, ma qualsiasi procedura di reimpostazione della password (o ripristino) che non sia sufficientemente vulnerabile che io chiamerei negligente.

L'e-mail delle password dimenticate significa che stai memorizzando la password nel tuo database sia in forma semplice che crittografata a 2 vie. Questa non è una pratica di sicurezza suggerita.

Dovresti memorizzare una forma di password criptica a 1 via (che non può essere decifrata) alla fine della web-app. Quindi, anche se la tua web-app o server web si trova di fronte a qualsiasi livello di titoli in db, nessuna password utente viene fatta trapelare in chiaro.

Quindi, considerando questo criterio, il link di reset è l'opzione adatta e lasciata da due approcci.