Due token password di reimpostazione utilizzati per lo stesso flusso della password di reimpostazione

0

Ho una domanda riguardante un flusso di password dimenticato. Fondamentalmente sto inviando il token di reimpostazione della password fuori banda all'utente, quindi l'utente lo invia di nuovo con la prima richiesta via querystring, lo convalido e lo controllo è scaduto e quindi lo elimino, e generi e memorizzi ( hashed) uno nuovo che restituisco all'utente con la nuova password / conferma l'interfaccia utente della password, dove inserirà la nuova password. (Ovviamente, cancellerò anche il secondo token dopo che la password è stata cambiata)

E sono curioso che sia troppo eccessivo per generare un nuovo token da inviare con l'interfaccia utente. O dovrei semplicemente rispedire indietro quello vecchio, e poi ricontrollare quando viene rispedito con la nuova password.

Grazie e buona idea.

    
posta danutz_plusplus 17.11.2015 - 15:57
fonte

1 risposta

2

Non vedo alcun vantaggio nell'usare il secondo token temporaneo. Presumo che tu stia facendo questo nel caso in cui il primo token venga annusato durante il transito, ma se lo è, allora la seconda chiave potrebbe essere annusata. Inoltre, questo processo dovrebbe avvenire all'interno di SSL, quindi la probabilità di essere sniffata è estremamente bassa per iniziare.

In genere il collegamento debole nel processo di reimpostazione della password è la ricezione di un'email, ma se l'account e-mail dell'utente viene compromesso, l'intero processo si interrompe comunque.

    
risposta data 17.11.2015 - 17:45
fonte

Leggi altre domande sui tag