Accesso a un utente dopo la reimpostazione della password tramite link

Non c'è differenza. Se un hacker arriva al link, può comunque reimpostare la password e accedere di nuovo. Non fa differenza per lui, non può ulteriormente abusare della funzionalità.

L'unica volta che ha senso farlo è se usi qualche forma di autenticazione a più fattori . Naturalmente, in questo caso, ci si aspetterebbe che si includesse anche il bit a più fattori nel workflow di reset.

Dal punto di vista della sicurezza, se la "reimpostazione della password" ti registri automaticamente o meno è piuttosto neutrale. Nessuno dei due comportamenti è intrinsecamente più sicuro dell'altro. Suppongo che la maggior parte dei siti faccia ciò che è più semplice da implementare sul lato server.

Un punto da considerare è che la sicurezza viene raggiunta finché tutti cooperano; in particolare, il principio di sorpresa minima è di fondamentale importanza. Questo principio, applicato alla sicurezza, significa che i problemi sono in corso quando le cose non si verificano come l'utente umano si aspetta. In questo caso, l'utente umano può o non può aspettarsi di accedere dopo un reset. Vediamo cosa succede se l'utente è "sorpreso":

• Se l'utente si aspettava di accedere, e non lo è, potrebbe essere in qualche modo irritato dalla necessità di inserire nuovamente la sua password . Tuttavia, le conseguenze si fermano qui. In particolare, l'obbligo di inserire la password una terza volta non indurrà l'utente a scegliere una password più debole ma più facile da digitare, perché, per definizione, non era a conoscenza di questa terza voce quando ha scelto la password.
• Se l'utente non ha si aspetta di accedere dopo una reimpostazione della password, e ancora è loggato, allora quell'utente potrebbe semplicemente non notare che ha effettuato l'accesso e che rimane tale. Ciò contraddice il controllo utente delle sessioni aperte (il motivo per cui la maggior parte dei siti ha un pulsante "logout" prominente).

In questo senso, un caso (piuttosto debole) può essere fatto contro per registrare automaticamente l'utente al ripristino della password: le conseguenze sulla sicurezza di un accesso inosservato possono essere peggiori delle conseguenze di una mancanza imprevista di accesso automatico .

Ogni volta che scrivi del codice devi pensare a te stesso, "Come può un utente malintenzionato abusare di questa funzionalità?" Non avere questo dialogo interno è molto pericoloso in quanto il programmatore probabilmente esporrà funzionalità pericolose. La mancata comprensione completa della prospettiva dell'attaccante condurrà alla ricerca di vulnerabilità che non potrebbero mai esistere.

Quindi in questo caso:

In che modo la possibilità di un utente malintenzionato può trarre vantaggio dalla registrazione automatica dopo che ha reimpostato la password di un account delle vittime. In questo caso chiaramente il danno è già stato fatto e l'accesso automatico a un utente è l'ultimo dei tuoi dubbi.

Probabilmente è solo per confermare che ha scelto la password giusta, cosa succede se navighi lontano dalla pagina della password sul sito?

Normalmente quando si dimentica una password viene generato un token singolo (spesso un collegamento) che consente di modificare la password e quindi accedere.

Se ti collegano immediatamente usando il token singolo dopo il quale puoi cambiare la tua password, è un po 'strano ma non del tutto meno sicuro. Dopo tutto, se è possibile modificare la password, è comunque possibile accedere in seguito.

L'importante è controllare se, dopo aver usato il token, viene invalidato. Se il token ti consente di cambiare la password più e più volte, allora c'è davvero un problema di sicurezza.

Se cambi la tua password, tutte le sessioni di accesso esistenti potrebbero essere cancellate, in modo che anche un cattivo che ha la tua password venga disconnesso.

Il fatto che non ti sia loggato subito dopo o che non conservi la tua sessione corrente potrebbe essere solo la pigrizia del programmatore, o quello che ha detto Lucas.

Supponendo che il link non dia via alcuna informazione sul nome utente (che non dovrebbe), e il nome utente non è l'indirizzo email dell'utente (che non dovrebbe essere, ma sfortunatamente a volte lo è), quindi è in grado di resettare "qualcuno" la password non sarà di alcun beneficio per l'utente malintenzionato, a meno che il sistema non effettui automaticamente il login. La ri-autenticazione è l'approccio preferito, ma il rischio è relativo alla sicurezza richiesta del sistema.