Email utilizzata per accedere ma non deve essere univoca. Problemi?

Suppongo che nel caso di account duplicati vengano usate password diverse come mezzo per distinguere tra questi account?

vale a dire. se ci sono due [email protected] s, una con password foo e una con bar , la password verrà controllata per scoprire in quale account registrare l'utente.

I problemi con questo approccio sarebbero:

• Se un utente con un indirizzo email imposta la propria password come un altro account con quell'indirizzo email, non c'è modo di avvisare l'utente senza rivelare che la password corrisponde a un altro account.
• I criteri di blocco degli account non possono identificare l'account da bloccare perché la password non è stata inserita in modo errato.
• L'utilizzo di un algoritmo di memorizzazione sicura delle password come bcrypt diventa impossibile perché non esiste un indice univoco su cui trovare il sale per determinare se si ha una corrispondenza di password. Ogni account corrispondente dovrebbe essere testato, con conseguenti lunghi ritardi all'accesso ogni volta che viene tentato l'hash di una password.
• Qualsiasi attacco indovinatore di password contro un account utente ha più tentativi di riuscire da ogni richiesta, aiutando un utente malintenzionato.

Se l'utente utilizza la password dimenticata, la nuova password verrà inviata all'indirizzo e-mail con cui ha effettuato l'accesso.

Questo rende l'utente il cui indirizzo email è utilizzato per accedere alla password e può utilizzarlo per accedere ed eseguire azioni.