Vulnerabilità legata al ripristino della password in testo normale

Question

Vulnerabilità legata al ripristino della password in testo normale

#1 da (10 voti)
#2 da (5 voti)

11

Se ricevo un'email con una password generata da testo semplice (in risposta a una richiesta di reimpostazione della password), si tratta di una vulnerabilità? La password scade dopo un uso, in altre parole l'utente deve cambiare la sua password non appena si registra.

Potrei immaginare che un simile schema di reimpostazione della password sia almeno vulnerabile a un uomo nel mezzo dell'attacco. L'uomo nel mezzo potrebbe ottenere la password temporanea e quindi bloccare l'utente con una nuova password. Ma c'è forse un'altra vulnerabilità?

passwords attacks

posta dasPing 15.05.2013 - 23:52

fonte

2 risposte

Leggi altre domande sui tag passwords attacks

Differenza tra S-HTTP e HTTPS Isolamento dell'applicazione Web ospitata sullo stesso server web

score 10 · Answer 1

Supponendo che la password sia generata casualmente e non facilmente indovinata, come dici tu il modo principale in cui un utente malintenzionato potrebbe compromettere questo sistema è eseguire un attacco MITM.

Tuttavia, qualsiasi sistema di reimpostazione della password basato sull'indirizzo e-mail è vulnerabile allo stesso tipo di problema (ad esempio, i collegamenti one-time) se l'utente malintenzionato può intercettare il traffico tra l'utente e il proprio account di posta elettronica.

Anche se non è sicuramente perfettamente sicuro o qualcosa su cui fare affidamento per un'applicazione ad alto rischio (come il banking online) non vedo neanche le password una tantum come un sistema particolarmente povero.

la raccomandazione principale sarebbe quella di assicurarti di accedere al tuo account e-mail solo su canali crittografati (ad esempio SSL o IMAP (S))

score 5 · Answer 2

Non penso che sia una vulnerabilità. Quando ci pensi come una password inviata in chiaro, allora sì è comprensibile pensare che ci sia una vulnerabilità qui, ma non è una password.

Inviando un link come https://example.com/reset.php?code=97fy978y39fny39478fyn3 , che è un collegamento singolo che fai clic per accedere a un modulo di reimpostazione della password in cui digiti la nuova password, è essenzialmente come se inviassi una sola password, hanno appena preso il code dal link e lo hanno chiamato una password temporanea. L'idea in sé non è vulnerabile, ma l'implementazione scorretta è per lo più.

Che cosa potrebbe andare storto qui?

Il code o la password potrebbero essere molto brevi e / o non generati con un PRNG crittograficamente protetto .
Il code o la password potrebbero consentire l'accesso alle aree dell'account per un lungo periodo di tempo prima di impostare una nuova password.
Il code o la password potrebbero rimanere validi per un lungo periodo, rendendo la loro eventuale esposizione un rischio.
Non si utilizza HTTPS, che offre a MitM la possibilità di intercettarli.

Aggiornamento: Hai ragione, l'e-mail è al di fuori dello scopo dell'implementazione, ma poi andremmo completamente fuori argomento. possiamo discutere che l'intero sistema è rotto , ma non c'è altra opzione. potrebbe inviarti il codice in un SMS, ma cosa succede se il tuo amico ha in mano il tuo cellulare? Potrebbero inviarlo alla tua casella di posta (una specie di sciocco) ma se qualcuno aprisse la tua casella di posta? L'unica opzione sicura è che inviano un rappresentante dell'azienda per andare al tuo indirizzo e chiederti il tuo ID e prendere le impronte digitali (che hai indicato nel modulo di registrazione) e quindi ripristinare la tua password.

Come vedi, l'email è di fatto un modo per contattare il proprietario dell'account originale, quindi è il meglio che possono fare.

Tutto sommato, stavo solo cercando di mostrarti che la sicurezza della password monouso in chiaro è esattamente la stessa del collegamento monouso utilizzato da quasi tutti i servizi web (Facebook, Twitter, StackExchange, ... )