Devo implementare una funzione di reimpostazione della password per un sistema che sarà controllato da una domanda di sicurezza e una coppia di risposte. Il problema è che non posso garantire che avrò un indirizzo e-mail o un numero di cellulare valido per l'account che posso utilizzare per comunicare un link o un codice di ripristino. Ciò significa che l'intero processo avverrà sulla pagina web. Io avrò un indirizzo e-mail noto per l'utente, ma è un indirizzo che è stato emesso dal sistema in primo luogo, il che significa che qualcuno sta usando questa caratteristica può significare che no avere più accesso a tale account.
In questa circostanza, sembra che la risposta di sicurezza diventi effettivamente una password alternativa, in quanto conosce la domanda (ho intenzione di richiedere la selezione della domanda corretta da una lista, come pure) e la risposta per un account sono uguali come conoscere la password. Questo mi fa pensare che avresti bisogno di avere lo stesso tipo di requisiti di complessità per la risposta di sicurezza che fai per una password. Tuttavia, non ricordo di averlo mai visto implementato. Se mi sono imbattuto in requisiti, di solito è qualcosa di semplice, come almeno 3 caratteri solo per essere sicuro di mettere qualcosa verificabile nel campo. Si basano anche sul fatto che inviano il codice in una posizione registrata al posto della complessità aggiuntiva.
Ho intenzione di mitigarlo inviando anche una e-mail al completamento, oppure quando la sessione scade in caso di errore e limitando il numero di tentativi in un dato intervallo di tempo. L'amministratore di sistema ha la possibilità di eseguire un ripristino manualmente, senza conoscere la domanda / risposta o la password originale, quindi non posso perdere il controllo dell'account. Ma sembra che mi manchi ancora qualcosa. Come dovrei gestirlo?