Domanda di reimpostazione della password, complessità della risposta

2

Devo implementare una funzione di reimpostazione della password per un sistema che sarà controllato da una domanda di sicurezza e una coppia di risposte. Il problema è che non posso garantire che avrò un indirizzo e-mail o un numero di cellulare valido per l'account che posso utilizzare per comunicare un link o un codice di ripristino. Ciò significa che l'intero processo avverrà sulla pagina web. Io avrò un indirizzo e-mail noto per l'utente, ma è un indirizzo che è stato emesso dal sistema in primo luogo, il che significa che qualcuno sta usando questa caratteristica può significare che no avere più accesso a tale account.

In questa circostanza, sembra che la risposta di sicurezza diventi effettivamente una password alternativa, in quanto conosce la domanda (ho intenzione di richiedere la selezione della domanda corretta da una lista, come pure) e la risposta per un account sono uguali come conoscere la password. Questo mi fa pensare che avresti bisogno di avere lo stesso tipo di requisiti di complessità per la risposta di sicurezza che fai per una password. Tuttavia, non ricordo di averlo mai visto implementato. Se mi sono imbattuto in requisiti, di solito è qualcosa di semplice, come almeno 3 caratteri solo per essere sicuro di mettere qualcosa verificabile nel campo. Si basano anche sul fatto che inviano il codice in una posizione registrata al posto della complessità aggiuntiva.

Ho intenzione di mitigarlo inviando anche una e-mail al completamento, oppure quando la sessione scade in caso di errore e limitando il numero di tentativi in un dato intervallo di tempo. L'amministratore di sistema ha la possibilità di eseguire un ripristino manualmente, senza conoscere la domanda / risposta o la password originale, quindi non posso perdere il controllo dell'account. Ma sembra che mi manchi ancora qualcosa. Come dovrei gestirlo?

    
posta Joel Coehoorn 11.03.2015 - 17:37
fonte

3 risposte

2

In this circumstance, it seems like the security answer effectively becomes an alternative password

È vero. Questo è anche il motivo per cui sembra una pessima idea. Funzionerà solo come una funzione se la domanda è qualcosa di semplice, qualcosa che l'utente saprà senza doverlo ricordare, il che significa che un utente malintenzionato può capirlo (cercando informazioni online, su Facebook, chiedendo alla vittima, ecc).

La tua idea attuale indebolirebbe notevolmente la sicurezza dei tuoi account utente, quindi cercherei un'alternativa. Il modo migliore sarebbe richiedere un indirizzo email o un numero di telefono alternativo (come la maggior parte dei provider di posta elettronica come google do).

Un'altra alternativa (se hai bisogno di nomi reali per la registrazione) sarebbe richiedere qualcosa come la copia di un documento identificativo per il recupero della password. Un utente malintenzionato potrebbe comunque riuscire a ottenere questo (specialmente se conosce personalmente la vittima), ma sarebbe un po 'più complicato.

Se vuoi seguire il tuo concetto, per lo meno eseguirò il ripristino della password via telefono invece che online, per scoraggiare alcuni aggressori.

    
risposta data 11.03.2015 - 18:08
fonte
2

Non raccomanderei di fare ciò che stai cercando di fare. Come hai sottolineato, la domanda / risposta è molto meno sicura di un normale utente / pass, e la sicurezza è efficace solo quanto il link più debole, e ovviamente questo tipo di implementazione è il collegamento debole. Inoltre, a parte, potrebbe essere difficile ricordare quale domanda di sicurezza è stata originariamente selezionata.

Il tuo problema è esattamente come hai dichiarato:

The problem is that I can't guarantee I'll have a valid e-mail address or cell number for the account that I can use to communicate a reset link or code.

Suggerirei di chiederti perché no? Cosa puoi fare per garantirlo? Ci sono alcuni (molto popolari) siti web che ti danno la possibilità di associare un indirizzo email al tuo account. Se lo fai, puoi reimpostare la tua password. Se non lo fai e dimentichi la password, allora sei SOL, e devi creare un nuovo account. Prenderò in considerazione questo approccio riducendo la sicurezza di tutti solo così alcune persone che scelgono di non inviare un'e-mail valida possono reimpostare la propria password.

    
risposta data 11.03.2015 - 19:48
fonte
0

Non provare a reinventare la ruota. Non sacrificare la sicurezza per l'usabilità

Gli schemi di reimpostazione della password esistenti sono già stati testati e convalidati contro le minacce di controllo degli accessi. Non sono perfetti ma sono accettati.

L'approccio che proponi di reimpostare la password è molto debole.

Pensa che sono un attaccante. Non ho bisogno di andare dopo l'account e provare costosi attacchi di forza bruta o dizionario. Ho solo bisogno di affermare che ho dimenticato la mia password, quindi sarò indirizzato alla pagina delle domande di sicurezza in cui ho una lista di tutte le possibili domande valide che posso provare ognuna di esse. La risposta è molto probabilmente una parola o frase del dizionario o almeno leggibile dall'uomo. Inoltre, conosco un po 'di ingegneria sociale e succede che l'account che sto tentando di attaccare conosca il legittimo proprietario dell'account. La possibilità che entrerò nel conto è molto alta.

    
risposta data 11.03.2015 - 20:36
fonte

Leggi altre domande sui tag