manera segura de hacer la recuperación de la contraseña / puesta a cero?

Question

Antes de comenzar, mi razón para no usar OAuth es que creo que no es realmente algo que deberíamos usar en este proyecto, estamos apuntando a una plataforma que se envasa y revendidos a empresas, que conectan con su propio conjunto de usos que realmente no quieren tener cuentas que no estamos 100% en control de, no queremos que sea un inicio de sesión compartido con otros servicios, y no queremos obligar a la gente en conseguir un google / yahoo / openID / AOL / facebook / blogger / wordpress / lo que cuenta.

Ahora bien, Lo que me gustaría es la mejor manera de permitir a los usuarios re-establecer una contraseña.

No me gusta el concepto de secreto-preguntas: qué escuela fue usted goto? Bueno, vamos a comprobar su página de facebook. ¿Cuál fue su maestra de primer grado? Permite sólo hay que preguntar casualmente.

No me gusta usar una sola vez-contraseñas por correo electrónico: ¿Desde cuándo es seguro de correo electrónico? Su jefe lo lee. Su envío de correos electrónicos no deseados a mí todos los días. Entró en su basura-bin. No es enviada encriptada.

No quiero usar una contraseña para restablecer una contraseña tampoco. Esto simplemente no tiene sentido.

estoy realmente fuera de las ideas aquí la mejor manera de hacer esto, por lo que figura quisiera pedir a la comunidad.

Answer 1

Su problema es que se necesita para externalizar la confianza. Si el usuario olvida su contraseña, ya no tiene un directa manera de confiar en ellos, así que hay que utilizar una fuente externa para restablecer su relación.

Si usted piensa que el correo electrónico es inseguro (que es, en realidad), podría intentar teléfono. darles una llamada con la contraseña temporal. O un fax. O por correo, o un SMS, etc.

Esto es tan segura como las líneas de teléfono / carteros sobre el cual viaja el restablecimiento, y en la mayoría de las áreas, intercepciones telefónicas o manipulación del correo electrónico está estrictamente castigado por la ley.

Si eso no es bueno, considerar la emisión de los usuarios de un token OTP, o tarjeta inteligente, o algo así.

Answer 2

A menos poder para investigar a la persona en persona, creo que ha enumerado todas las opciones razonables que he visto. En mi opinión, el uno-tiempo-contraseña por correo electrónico es la opción superior como la gente tiende a por lo menos quieren mantener su correo electrónico privado. Yo personalmente odio preguntas secretas - demasiado grande de la oportunidad de las respuestas siendo pública (ver a Sarah Palin incidente de correo electrónico). Si se va a hacer preguntas secretas, al menos, permitir al usuario elegir sus propias preguntas.

Answer 3

Creo que esto requiere una implementación difícil, pero el envío de la nueva contraseña al teléfono móvil del usuario como un mensaje de texto puede ser una solución alternativa. Los teléfonos móviles son mucho más seguro que la bandeja de entrada personal.

A continuación, los usuarios se les pide que introduzca su número de teléfono móvil. Los usuarios que no quieren que la funcionalidad se proporcionan nuevas contraseñas por correo electrónico.

Answer 4

Los usuarios Marca Seleccione una imagen secreta (o imágenes). O usuario hacer subir su propia imagen.

Esto funciona mejor que preguntas secretas . preguntas secretas tienen dos problemas comunes:

1. usuario da una respuesta que se puede obtener fácilmente por otros.
2. usuario sabe sobre el primer problema y en lugar de un real da una respuesta al azar respuesta, después olvidarse de sí mismos lo que era.

Al hacer el usuario para seleccionar la imagen secreta (s) o mejor aún subir sus propias imágenes. Será más fácil para el usuario para llamarlos luego cuando se recupera la contraseña, ya que es más fácil de hacer asociaciones visuales.

Al recuperar la contraseña de usuario actual con varias opciones para elegir la imagen correcta.

Answer 5

Así que realmente desea el usuario para probar que él es quien dice que es, sin revelar información acerca de sí mismo (suponiendo que usted puede conseguir cualquier información con la piratería informática social)

Hay 3 formas para la autenticación: Algo que eres (biometría), algo que tienes (dongle por ejemplo) y algo que sabes (contraseña, la respuesta ...). autenticación de 2 o de 3 vías es mucho más seguro que el 1-manera.

restablecimiento de contraseña / recuperación, por definición reduce la seguridad del procedimiento de autenticación, ya que su ahora no A, pero (A o B). (A = contraseña, B = recuperar-contraseña)

Por lo tanto, incluso si su procedimiento de autenticación es de 1 vía (contraseña), sus procesos de recuperación debe ser una autenticación de 2 vías.

Vamos a ver cuáles son sus opciones para el proceso de recuperación de la contraseña:

1. Algo que son (SysAdmin que reconocer - por lo general no es bueno para la organización de los trabajadores de 5000, impresión de voz - demasiado caro de implementar, ...)
2. Algo que tiene (cuenta de correo electrónico, número de teléfono, ...)
3. algo que sabes (datos personales)

Tenga en cuenta que la etiqueta corporativa-ID con la imagen es una autenticación de 2 vías (tanto algo que eres y algo que tienes).

Creo que el mejor procedimiento es para el empleado que ir físicamente al departamento de TI, mostrar su identificación con foto, y pedir un restablecimiento de contraseña.

Si esto no es factible (demasiado lejos - una rama remota, por ejemplo), intenta utilizar una deligator cuando se reconozca y se puede confiar por teléfono, por lo que el empleado tendrá que mostrar el ID de etiqueta a un deligator local.

Si no puede utilizar el 'algo que está' - uno se queda con algo que tienes (e-mail, teléfono, número, su propio PC) y algo que sabes (datos personales ...). No se puede escapar de ella.