Modalità di attacco alla password bombardata a tempo

Un "indirizzo di reimpostazione della password" è una password temporanea - e una che può essere sfruttata in una password permanente. Una "password" è un'informazione che un utente può presentare per ottenere l'accesso. L '"indirizzo di reimpostazione password" si adatta a tale definizione.

Quindi direi che il particolare ponte di "password via email" è già stato superato. Il rischio intrinseco di tale invio è mitigato rendendo l'applicabilità dell'indirizzo limitata nel tempo, proprio come la "password temporanea".

Si potrebbe sostenere che la "password temporanea" è un po 'più rischiosa nel senso seguente: se un utente malintenzionato intercetta l'e-mail, può utilizzare sia l'indirizzo di reimpostazione della password che la password temporanea, ma utilizzando la password temporanea lascia meno tracce, mentre in realtà la reimpostazione della password sarà facilmente individuata dal legittimo proprietario, a causa del fatto che non potrà più collegarsi. La differenza è leggera, però. Direi che la funzione "password temporanea" è abbastanza inutile ma non significativamente più rischiosa rispetto all'indirizzo di reimpostazione della password.

(Suppongo che la "password temporanea" sia per le persone che hanno bisogno di accedere veloce ma non vogliono rompere la loro, ingombrante, lenta politica di rinnovo della password. Un caso limite per aiutare le persone che capita di scavare la propria tomba.)

Il mio istinto è che probabilmente c'è poco o nessun rischio; supponendo che l'applicazione verifichi correttamente che la particolare password sia valida solo per 15 minuti.

Poiché la maggior parte dei tentativi di hacking non è mirata, è molto improbabile che, se la password cade in qualche modo nelle mani di un utente malintenzionato, sarà in grado di sfruttarla nella piccolissima finestra di opportunità .

Tuttavia, non c'è ancora un punto nell'invio della password insieme a un URL di reimpostazione della password. È ancora meglio rimuoverlo.

Tutto si riduce al profilo del sito web. Se si tratta di un'applicazione web bancaria o altamente confidenziale, non farlo. Potrebbero esserci aggressori che pianificano attacchi mirati contro i tuoi utenti. Per la maggior parte delle applicazioni Web, tuttavia, non vedo molti rischi.

Il vantaggio principale che ho potuto vedere qui è che (tipo di) aiuta a prevenire gli attacchi sui link di ripristino. Se viene utilizzato un token di collegamento breve, in teoria qualcuno potrebbe continuare a indovinare i collegamenti.

Rompendo in più parti che richiedono un nome utente, la password inviata via e-mail e il collegamento inviato via e-mail è più sicuro di un semplice collegamento della stessa lunghezza poiché protegge ulteriormente contro le persone che cercano solo di indovinare la password reimpostare i collegamenti, ma è possibile ottenere la stessa sicurezza semplicemente utilizzando un token più lungo nel link di reimpostazione della password. Potrebbe esserci qualche limitazione tecnica al sistema che impedisce comunque un token più lungo. O hai bisogno di nome utente + reimpostazione del link token + password temporanea o hai bisogno di nome utente + token link di reset più lungo. La somma totale di entropia è tutto ciò che conta dal momento che la perdita di posta elettronica è ugualmente problematica per entrambi.

Per, quindi, chiarire, richiedere un reset PW da questo sito immediatamente fare così (quindi una password temporanea, il link di reset dovrebbe bypassare le credenziali di accesso perché questo è il punto ) ma poi ha un link di reset limitato nel tempo che permetterà loro di specificarne uno nuovo?

Quindi cosa succede se scadono il link e la password time-bombed? L'account utente è bloccato fino a quando l'utente non risponde a una successiva e-mail di ripristino in tempo? Potrei vedere che è un campo da gioco per uno script kiddie che si alimenta nel numero di indirizzi e-mail che riesce a trovare (e per i siti che soddisfano i clienti aziendali, utilizzando gli add-on della e-mail aziendale del modulo [email protected] , tutto ciò di cui avresti bisogno è il dominio di posta elettronica e l'elenco telefonico di un'azienda per chiudere l'accesso di un'intera azienda a questo sito di terze parti).

Ovviamente, il sistema di reimpostazione della password tramite e-mail fornisce un'autenticazione a due fattori che di solito è una buona cosa. Il fatto che la password temporanea sia trasmessa in un testo più o meno semplice è preoccupante, ma il tuo vettore di attacco in quel caso è qualcuno che annusa il traffico di rete del server di posta, che è un paio di livelli di sofisticazione al di sopra dello script kiddie o spambot.

L'intero schema, ovviamente, è debole nei confronti di un utente malintenzionato che può violare la password dell'account e-mail; se ha ottenuto l'accesso all'account GMail che hai usato per registrarti al sito, può reimpostare entrambe le password e tu sei SOL, ma è vero per qualsiasi schema di reinvio tramite e-mail, ed è ancora meglio che usare "segreti" disponibili pubblicamente "come il nome da nubile di tua madre, la tua scuola superiore o altre domande di sicurezza facili da ricercare.

La debolezza che vedo è che esiste un potenziale per sconfiggere l'obiettivo del sistema se la vecchia password dell'utente non viene bloccata.

Se invii un'email a qualcuno che consente loro di reimpostare la password senza conoscere quella corrente (il tipico caso "dimenticato la password"), chiunque abbia compromesso l'account di posta elettronica può assumere il controllo del sistema protetto da password. Questa è una parte naturale del compromesso fornito dai sistemi "ha dimenticato la password".

Tuttavia, una cosa importante di questo processo è che, anche se l'utente malintenzionato ha il sistema di posta elettronica compromesso, non può attaccare il sistema protetto da password e lasciare inosservato. Hanno sempre dovuto cambiare la password, che è una piccola ma rilevabile quantità di cambiamento.

Se il sistema consente di utilizzare la password temporanea, ma dopo 15 minuti ritorna alla password originale, il sistema risulta meno potente. Ora l'utente malintenzionato può utilizzare la password temporanea per 15 minuti, eliminare l'e-mail e la vittima non ne ha più. Tuttavia, se il sistema disabilita immediatamente la password originale quando si invia il messaggio "ha dimenticato la password", è sicuro. Allo stesso modo, è anche sicuro che quella password temporanea possa essere utilizzata solo per cambiare la password, non per accedere al sito.