Alternative all'invio di password in formato testo via e-mail?

Probabilmente va bene, a patto che all'utente venga richiesto di accedere e modificarlo immediatamente (e supponendo che scada entro poche ore se l'utente non fa nulla, forzando un altro ciclo di reset). Una domanda simile è " Password temporanee inviate per e-mail come testo normale ".

Probabilmente stai pensando allo scenario peggiore in cui un sistema memorizza le tue password in testo semplice , quindi ti invia la tua password via email se la dimentichi. Ci sono alcune domande relative a perché si tratta di un processo non valido (e cosa puoi fare al riguardo ).

È interessante perché affronta due problemi. Devi far sapere a qualcuno la password ma:

• Se è testo in chiaro, è facile da leggere per chiunque abbia accesso illecito all'email
• Se è crittografato, ha bisogno di software aggiuntivo rispetto a quello che molti utenti avranno come standard, in più l'ottimale è memorizzare una password come un hash unidirezionale, piuttosto che una stringa crittografata.

Per quanto mi riguarda, mi piacerebbe trasmettere per il testo normale, ma forzare una modifica della password al primo utilizzo, e se la situazione lo richiedesse, contattarei il cliente con un altro mezzo per dire loro che la password sarebbe a breve con loro - invitali a impostarli da soli.

Un'opzione sarebbe l'accesso una tantum a un'interfaccia 'Set Password' di qualche tipo - non è una cattiva idea in qualche modo, perché nessuno vedrà mai la password, e non deve mai essere memorizzata come qualcosa tranne una hash.

Come tutto, tutto dipende da cosa c'è dietro la porta chiusa.

Le password e i link di reimpostazione password inviati in chiaro sono non ottimali . Quando diventi suscettibile a traffico spionistico, ISP canaglia e chiunque abbia accesso al tuo server di posta.

Quello che vedi qui è il classico problema di crittografia a chiave pubblica che non viene ampiamente utilizzato.

Se i cittadini avessero una chiave pubblica firmata dal governo *, il provider potrebbe semplicemente inviare l'e-mail crittografata con la chiave pubblica del cittadino, fiducioso che solo il cliente reale ** potrebbe leggere il messaggio.

Poiché non lo abbiamo ancora, ciò che il provider di hosting potrebbe fare è:

Require that all support enquiries for password resets go through a HTTPS encrypted chat service.

In questo modo, qualsiasi prova fornita dal cliente della propria identità è protetta dallo snooping e la password temporanea (o meglio ancora un link https://reset-password monouso) viene fornita solo attraverso la sessione di chat HTTPS. Al cliente viene richiesto di non salvare il collegamento e fare clic sul link di ripristino prima che scada.

_{* O meglio ancora, la chiave pubblica di ogni cittadino è firmata da più governi reciprocamente antagonisti per ridurre la collusione e l'uso improprio del governo.
** E spie di governo naturalmente se nessun governo o solo governi cooperanti l'hanno firmato.}

On # 2 - Uno dei reparti IT dei miei datori di lavoro non ha consentito l'invio di alcuna password per posta elettronica. Anche le password dei nuovi account sono state comunicate di persona o da telefono (fisso), non da indirizzi email alternativi.

Nessuna password, crittografata o meno, è stata trasmessa sulla rete. Uno deve essere un criminale organizzato per intercettare in qualche modo la linea telefonica al momento giusto per ottenere la password.

Il gestore password LastPass può inviare password in modo sicuro ad altri utenti LP. Supportano 2 modalità di condivisione, una per condividere tutte le informazioni inclusa la stringa della password. E una modalità che condivide solo la capacità di accedere ai siti. Tuttavia, la password non è condivisa in modo visibile, a meno che, forse, il sito non disponga di un'opzione per mostrare la password.

1. Varia: cosa hai che verrà hackerato. Informazioni pubbliche? Informazioni sicure? HIPPA?

2. Al telefono o un link e un token per la reimpostazione della password.

Inoltre, sul posto di lavoro ho scoperto che a causa delle rigide configurazioni delle password, impostate dai poteri, gli utenti mantengono la password gobbly-gook in un PostIt sul bordo dello schermo del loro computer poiché non hanno modo di memorizzarlo.

l'invio di password in un'e-mail è una pratica piuttosto scadente. In generale, le e-mail non sono sicure, anche se l'e-mail è crittografata durante il transito, in genere gli amministratori di sistema hanno accesso all'e-mail, specialmente nelle impostazioni aziendali, quindi ora l'amministratore di sistema può accedere all'account.

se i tuoi dati di posta elettronica non sono criptati in transito, lo sniffing MITM può accedere ai contenuti.

Non utilizzerei un sistema in cui le password vengono inviate in chiaro in un messaggio di posta elettronica poiché ciò mi indurrebbe a mettere in discussione altri elementi di sicurezza presso l'organizzazione che ha commesso l'infrazione.

Mi piace l'idea che tutto dipenda da cosa c'è dietro la porta. La maggior parte delle piccole e medie imprese dispone di sistemi di posta elettronica che non si estendono su più mxhosts e quindi la consegna interna è solo un host locale, quindi l'uso di imap o pop su tls dovrebbe mitigare la maggior parte dei problemi di mitm. Sulla mano potresti citare la password e inviarla in una busta, che poi dipende dal budget della busta. La maggior parte delle organizzazioni probabilmente non è abbastanza paranoica da fare la cosa dell'involucro. L'altro metodo sarebbe ottenere da tutti gli utenti di generare le proprie chiavi e recuperare le loro chiavi da un server hkp e firmare e crittografare la password.