安全方法进行密码检索/重置？

Question

在我开始之前，我不使用的原因 Oauth 我相信这不是我们在这个项目上应该使用的东西，而是针对一个将包装并转向公司的平台，该平台与他们自己的一套用途相关，我们真的不想拥有帐户我们不能控制百分比100，我们不希望它是与其他服务共享的人，我们不想迫使人们获得Google/Yahoo/openID/aol/aol/aol/aol/facebook/blogger/wordpress /什么帐户。

现在，我想要的是让用户重新设置密码的最佳方法。

我讨厌秘密问题的概念：你得到了哪所学校？好吧，让我们查看您的Facebook页面。您的一年级老师是什么？让我们随便问他们。

我讨厌通过电子邮件使用一次性通信：既然电子邮件何时安全？你的老板读了。您每天向我发送垃圾邮件电子邮件。它进入了您的垃圾箱。它没有发送加密。

我也不想使用密码重置密码。这没有道理。

我确实在这里真正没有想法来做到这一点，所以我想我会问社区。

Answer 1

您的问题是您需要外包信任。如果用户忘记了他们的密码，您将不再有一个 直接的 信任它们的方法，因此您必须使用外部来源重建您的关系。

如果您认为电子邮件是不安全的（实际上是），则可以尝试电话。给他们打电话给他们临时密码。或传真。或蜗牛邮件或短信等。

这与Reset行进的电话线/邮政运营商一样安全，在大多数地区，法律严格惩罚了电话拦截或篡改邮件。

如果这是不好的，请考虑向用户发行OTP令牌，智能卡等。

Answer 2

除非能够亲自审查该人，否则我认为您已经列出了我见过的所有合理选择。在我看来，通过电子邮件的一次性通信是优越的选择，因为人们至少希望将电子邮件私有化。我个人讨厌秘密问题 - 公开答案的机会太大（请参阅Sarah Palin电子邮件事件）。如果您要做秘密问题，至少让用户选择自己的问题。

Answer 3

我认为这需要一个困难的实施，但是将新密码发送到用户手机，因为短信可能是替代解决方案。手机比个人收件箱安全得多。

然后，要求用户输入其手机号码。不希望该功能的用户通过电子邮件提供新密码。

Answer 4

让用户选择一个秘密图像（或图像）。或使用户上传自己的图像。

这比 秘密问题. 。秘密问题有两个共同的问题：

1. 用户给出了一个可以轻松获得他人的答案。
2. 用户知道第一个问题，而不是 真实的 答案给出 随机的 回答，后来忘记自己是什么。

通过使用户选择秘密图像或更好地上传自己的图像。用户在恢复密码时以后更容易回忆，因为建立视觉关联更容易。

恢复密码当前用户时，可以选择多个选择以选择正确的图像。

Answer 5

因此，您实际上希望用户证明他是他声称自己的人，而没有透露有关自己的信息（假设您可以通过社交黑客获得任何信息）

身份验证有3种方法：您是某物（生物识别技术），您拥有的东西（例如加密狗）以及您知道的东西（密码，响应...）。 2或3向身份验证比1路更安全。

按照定义，密码重置/恢复会降低身份验证过程的安全性，因为它现在不是A，而是（A或B）。 （a =密码，b = recusion-password）

因此，即使您的身份验证过程是1向（密码），您的恢复过程也应该是2向身份验证。

让我们看看密码恢复过程的选择是什么：

1. 您是某件事（识别您的Sysadmin - 通常对5000名工人组织不利，语音印刷 - 实施太贵了...）
2. 您拥有的东西（电子邮件帐户，电话号码，...）
3. 您知道的东西（个人详细信息）

请注意，带有图片的Corporate-ID标签是2向身份验证（您是某些东西和您拥有的东西）。

我认为最好的程序是让员工实际去IT部门，显示他的图片ID并要求重置密码。

如果这是不可行的（例如，太远 - 例如一个远程分支），请尝试使用被识别并可以通过电话信任的Deligator，因此员工将不得不向本地Deligator展示ID标签。

如果您不能使用“您所处的东西” - 您将留下您拥有的东西（电子邮件，电话，您自己的PC）和您知道的东西（个人详细信息...）。你不能逃脱它。