Modo sicuro per informare l'utente della nuova password

Question

Modo sicuro per informare l'utente della nuova password

#1 da (2 voti)
#2 da (-1 voti)

2

Abbiamo un sistema IBM z / OS che faccio parte del team amministrativo sul quale spesso dobbiamo reimpostare le password degli utenti. (dimenticato, troppe violazioni ecc.)

Lo facciamo scegliendo una nuova password e assegnandola al loro id. In seguito, inviamo all'utente l'e-mail con la nuova password.

So che questo è male, ma non so come possiamo migliorare il processo?

La mia idea attuale è quella di fornire un sito Web in grado di produrre una coppia di chiavi RSA pubbliche e private, invitarci a inviarci la chiave pubblica che utilizzeremo per crittografare il loro nuovo id e poi decifrare con la chiave privata pertinente.

Qual è il processo raccomandato per i sistemi in cui le reimpostazioni delle password sono un processo manuale e la nuova password deve essere restituita all'utente?

Modifica:

Il sistema operativo è z / OS, il sistema di sicurezza è ACF2 e la modifica della password avviene tramite un'interfaccia di tipo CLI, in cui un utente autorizzato emette semplicemente un comando 'change' con l'userid e la nuova password in chiaro.

l'e-mail che informa l'utente della nuova password viene eseguita tramite posta interna, ma verrà inviata spesso a livello internazionale. L'utente dovrà cambiare la password al primo utilizzo.

password-management

posta Steve Ives 21.02.2017 - 15:54

fonte

2 risposte

Leggi altre domande sui tag password-management

Bluetooth Low Energy - Relazione tra PIN e attacchi man-in-the-middle È possibile avere accesso LAN completo attraverso una sessione meterpreter? per esempio. per un attacco MITM

score 2 · Answer 1

In base alla discussione nei commenti, suggerirei un

collegamento una tantum , che rimanda alla pagina web che mostra la nuova password all'utente.

Alcuni aspetti positivi di questo:

La trasmissione della password effettiva avviene (/ dovrebbe accadere) in HTTPS .
La password viene sempre esposta solo nella cache del browser e sul lato server. (Ciò significa che le future interruzioni su un dispositivo client non perderanno la password)
È possibile utilizzare ulteriori metodi di autenticazione sulla pagina web, che garantiranno che la nuova password sia mantenuta segreta.

score -1 · Answer 2

Recentemente ho lavorato in un'azienda in cui avevamo un problema simile. Abbiamo ancora inviato via email le password agli utenti, con le avvertenze che abbiamo sempre:

Richiesto la password da modificare al primo accesso. Ciò impedisce a un snooper successivo di poter utilizzare le password trovate nell'email.
Reimposta le password solo su richiesta. Questo, combinato con il follow-up con loro tramite chat interna, ha aiutato a garantire l'accesso rapido, riducendo il tempo di validità della password inviata per email.

Questo non è un sistema ideale con qualsiasi mezzo, ma riduce alcuni dei più importanti fattori di rischio con pochissimo lavoro tecnologico.