Registrazione Email Hijacking

Question

Registrazione Email Hijacking

#1 da (2 voti)
#2 da (1 voti)

1

(Si prega di leggere l'aggiornamento alla fine)

Sto cercando di scoprire come inviare le email di registrazione degli utenti in modo sicuro. Ho letto le risposte su questa domanda :

Non intendo inviare password nelle email, ma stavo considerando qualcosa di simile a questo risposta (collegamenti temporanei).

Tuttavia, continuo a pormi la stessa domanda che qualcuno ha posto nei commenti a quella risposta: "Quindi cosa impedisce che il link nell'email venga dirottato da un intermediario che utilizza il link per reimpostare la password dell'utente?"

AGGIORNAMENTO: Scusate, l'ho scritto in fretta (ho bisogno di fare qualcosa "ieri"). Sono fondamentalmente interessato al dirottamento di posta elettronica in generale. Quello che succede in realtà è questo:

Qualcuno crea un account Tenant (un'organizzazione). Questa è la registrazione standard e lo sto facendo con un collegamento temporaneo che viene inviato all'utente.
L'utente amministratore viene creato nel primo passaggio.
L'utente amministratore crea successivamente altri account. Questa parte è il punto in cui sono preoccupato per il dirottamento delle email.

Potrei inviare una password temporanea al nuovo utente. Ho anche preso in considerazione l'e-mail di "invito", in cui il nuovo utente avrebbe ricevuto un link temporaneo in cui potevano inserire la sua password (il collegamento sarebbe stato cancellato successivamente).

Non sono contento di nessuna delle due soluzioni, perché mi sento come se qualcuno potesse dirottare l'e-mail e leggere la password temporanea o utilizzare il link temporaneo per inserire la propria password prima che l'utente faccia.

Spero che questo chiarisca la mia domanda. In caso contrario, per favore dimmelo e proverò a migliorarlo.

email passwords

posta Viet Norm 07.04.2016 - 14:54

fonte

2 risposte

1

Conferma email di registrazione

So what's stopping the link in the email from being hijacked by a middle-man who uses the link to reset the user's password?

Non è così che dovrebbe funzionare l'email di registrazione. Dovrebbe funzionare in questo modo:

Registri utente
Invia un'email di conferma con un token singolo
L'utente riceve l'email e fa clic sul link con il token
Paragoni il token e, se corrisponde, contrassegni l'email come corretta e rimuovi il token

L'idea qui è di convalidare l'indirizzo email dell'utente. L'utente non dovrebbe essere in grado di fare altro che confermare il proprio indirizzo email con questo token. Non dovrebbero essere registrati automaticamente e non dovrebbero essere in grado di reimpostare una password.

Token di reimpostazione password

Qui esiste il problema descritto e non esiste una buona soluzione (la crittografia dell'e-mail non è utilizzata abbastanza per essere una soluzione adeguata).

Quello che devi fare è assicurarti che il token sia una tantum solo per mitigare un po 'il danno.

Oltre a questo, è possibile utilizzare l'autenticazione a due fattori per mitigare il problema.

risposta data 07.04.2016 - 15:09

fonte

Leggi altre domande sui tag email passwords

Quanto è sicuro mantenere un token angolare per future richieste a un'API Laravel? In che modo Tor raccoglie gli indirizzi dei nodi?

score 2 · Accepted Answer

Porterò questa domanda a "come impedisci a MitMs di intercettare i link temporanei" se questi link sono per la conferma dell'email o per avviare il ripristino della password, perché l'email è considerata non sicura.

Bene, la risposta è intorno al fatto che non tutti gli Uomini-In-The-Middle sono creati uguali.

Potrebbe anche essere il fatto che l'e-mail nel trasporto viene inviata in chiaro (anche se oggigiorno viene utilizzata la crittografia opportunistica), tuttavia il punto nel suo viaggio che è più rischioso per le occorrenze di Men-In-The-Middle è solitamente criptato. / p>

per es.

server --> Local SMTP server --> User's SMTP Server --> User

Lo scenario più probabile per un MitM da sedersi è tra il server SMTP dell'utente e l'utente. Tuttavia, in questi giorni la crittografia è più o meno universale per questo collegamento. Ad esempio, se ricevi la tua email tramite Gmail o Outlook (Hotmail), ti connetti al tuo provider tramite HTTPS, il che significa che qualsiasi MitM sulla rete di coffee shop non sicura che recuperi la tua email da è protetto. Lo stesso con Outlook che si connette a Exchange Online, poiché la connessione è crittografata. La protezione qui è la più critica di quanto basta un utente canaglia con spoofing ARP per intercettare tutto il traffico.

Un MitM che si posiziona in altri punti della catena di distribuzione è molto più difficile, quindi è un rischio accettabile per la maggior parte dei siti inviare token temporanei e monouso via e-mail.