パスワードをリセットするか、紛失したパスワードを送り返す方が良いですか？

Question

パスワードを忘れてパスワードをリセットした場合や、紛失したパスワードを戻す方が良いでしょうか？

Answer 1

第三者が郵送されたパスワードを傍受する可能性があるので、パスワードをリセットする方が安全です。

編集：リセットすると、ユーザーに新しいパスワードを定義するためのトークンを送信するという共通のパターンを意味すると見なします。明らかに新しいパスワードを生成してメールで送信するだけであれば、元のパスワードを送信するのと同じように安全ではありません。もちろん、トークンは1回だけ使用可能でなければなりません。それ以外の場合は、パスワードと同じくらい良いでしょう。ここだけのリスク

は、第三者が、ユーザーが行う前にパスワードを変更トークンを傍受していることです。これはパスワードを送信するよりもリスクが低くなります。なぜなら、盗んだパスワードは、パスワードが使用されている限り有用であり、トークンは一度しか有用ではないからです。と誰かがトークンを使用したことを発見します。

リスクが最も高いのは、電子メールトラフィックの盗聴者ではなく、メールを後で見ている人やウェブメールアカウントをハッキングしている人物なので、メールボックスにはまだ有効なパスワードが残っています。

Answer 2

パスワードを紛失したままに送信すると、それらを平文で保管しているか、安全ではない双方向暗号化で暗号化されていることを意味します。

私はパスワードをresetingため、次のWordpressのメカニズムをお勧めしたい：

1. はランダムなパスワード を生成し、それを送信しますページ へ
2. フォロー確認リンクをリセット パスワードの確認とのリンクを送信ユーザに
3. 新しいパスワードでユーザをログインさせ、 をより良いものに変更してください。 思い出してください。

Answer 3

最初にパスワードを送り返すべきではありません。あなたの最高のチャンスは、ランダムワンタイムパスワードを生成し、ユーザーの登録された電子メールアドレスに送信することです。

セキュリティに関する質問（「最初の犬の名前」など）やその他の神秘を導入することはできますが、ユーザーはパスワードよりもこれらの回答を忘れて、正方形に戻ってしまう傾向があります。

Answer 4

多くのユーザーは、多くのWebサイトで同じパスワードを使用しています。人々のプライバシーを尊重するために、SHA-256やMD5などのハッシュ関数を使用して一方向に暗号化されたパスワードを保存することをお勧めします。しかし、辞書攻撃はこれらのパスワードで簡単に実行できるので、追加の塩なしでそれらを使用すべきではありません。ユーザーのプライバシーを守ることは、あなたとあなたの顧客との間に信頼できる関係の基礎を形成します。

Eimantesに記載されているパスワードリセットメカニズムもお勧めします。確認メールメッセージは、このプロセスの主なタスクです。偽の要求がアクセスできないアカウントにつながるのを避けるため、ユーザーにパスワードリセット要求を確認させてください。

ランダムなパスワードを計算する代わりに、新しいパスワードを入力できるページにユーザーを転送することができます。

また、sslを使用せずにhttp経由でパスワードを送信することは、特にwlanホットスポットなどの公開ネットワークでは非常に安全ではないことに注意してください。 Diffie-Hellman-Key-Exchangeと組み合わせたHMACのようなメッセージ認証方法を見てください。または、ログイン時に少なくとも追加のhash + salt関数を使用します。