Tecniche efficaci per il Recupero della Password in Applicazioni Web Moderne

Question

Abbiamo lavorato su applicazioni web in cui abbiamo bisogno di implementare tradizionale e web-apps funzionalità di recupero password.Secondo le tendenze ci sono approcci..

1. Invio link di reimpostazione Password per e-mail dell'utente.
2. Chiedendo Domanda Segreta per l'utente per il recupero della Password.
3. Reimpostare la Password esistente e la creazione di una nuova password e invio all'utente.Questo può anche forzare l'utente a cambiare la password al prossimo accesso.

Abbiamo camere non-tecnica tradizionale per l'attuazione del meccanismo di recupero password ?Quali altri approcci hai cercato per questo ?

Grazie.

Answer 1

Dipende dal livello di sicurezza si sta puntando, i costi di supporto e le preoccupazioni di usabilità.

emailing un link di reimpostazione password è il metodo preferito per una serie di motivi:

• costi di supporto - Questo è il più grande fattore da una prospettiva di business. Gli utenti spesso dimenticano anche i loro suggerimenti di password o utilizzare un indirizzo di posta falso o dimenticano il loro nome utente. Tutti questi sono legittime preoccupazioni per il quale si potrebbe ottenere le richieste di supporto. Questo a sua volta crea un altro problema, è necessario stabilire la legittimità degli utenti, chiedendo loro di recente attività dell'account e non che cosa. Se non si forniscono quel livello di supporto un sacco di utenti alle prime armi saranno delusi. Emailing un link di reimpostazione della password mitiga queste preoccupazioni perché gli utenti hanno in genere uno o due indirizzi e-mail e possono facilmente recuperare il loro nome utente / password, fornendo il loro indirizzo email.

• Le preoccupazioni Sicurezza - Questo è il più grande fattore dal punto di vista tecnico. Ci sono vari problemi qui che si deve pesare. Un account di posta elettronica compromesso significa che l'hacker può andare per accedere a tutti i servizi degli utenti che consentono un link di reimpostazione password per essere inviato via email. È possibile accontentarsi di terra di mezzo che è quello di e-mail un link di reimpostazione della password per l'utente che a sua volta fa una domanda suggerimento password, dopo di che permette loro di reimpostare la password dell'utente. Anche in questo caso, non si dovrebbe mai esporre la password dell'utente con qualsiasi mezzo. Infatti, se si ha la capacità di mostrare loro la propria password il sistema è già insicuro perché implica che non si archiviano utilizzando un hash sicuro come SHA-1 e uno sviluppatore nella vostra azienda può ottenere presso la password di tutti.

• Usabilità - Questo è il più grande fattore dal punto di vista dell'utente. Emailing un link di reimpostazione della password richiede all'utente andare a controllare il loro indirizzo di posta elettronica che può significa che il tempo di realizzare il compito può arrivare fino a 2 o addirittura 3 minuti. Tuttavia, vorrei pensare che questo non è un grosso problema. La maggior parte degli utenti non sembrano in mente questo perché si sentono in colpa e questo è una misura di sicurezza nel loro interesse. Sto solo ipotizzando per esperienza personale e gli utenti in generale potrei sentire in modo diverso. Vorrei mettere la sicurezza come una priorità maggiore rispetto l'esperienza degli utenti, perché gli utenti raramente, se mai bisogno di recuperare le loro password (utente non ha connesso per un lungo periodo di tempo e si è dimenticato la sua password; utente avevano salvato la sua password nel browser che è stato reinstallato e alcuni altri casi limite).

Answer 2

Altre opzioni ho visto che in pratica dovrebbe includere:

• permettendo una seconda password quando qualcosa va storto qualcosa come il Super-PIN utilizzato con i telefoni cellulari.
• creazione di un file token(di solito una chiave PGP) che l'utente scarica durante la creazione di account e memorizzare su una Chiavetta USB, o salvare per un uso successivo.Quando c'è un problema, l'utente potrà caricare il token, dimostrando che egli è il "proprietario" dell'account, e l'applicazione che permette all'utente di modificare la password.Questo può essere una costante token, o un file con più gettoni (simile a un sistema di banking online Tan) - ogni volta che un token è usato, è anche invalidato.

I metodi di cui sopra non sono semplici da implementare, ma sono abbastanza user friendly (poiché non vi è nulla di nuovo su di loro e sono presenti in giorno per giorno le situazioni).

Answer 3

A mio parere, l'invio di un link di reimpostazione password per e-mail dell'utente è il modo migliore. Questo è il modo Digg lo fa, e questo è il mio modo di fare.

Ma in questo metodo abbiamo bisogno di fare affidamento sull'utente essere in grado di accedere al suo email.

Per quanto riguarda il metodo di domanda segreta: il più delle volte, la risposta della domanda segreta non è così segreto come vorremmo. Sarebbe nel migliore interesse dei nostri utenti per bloccare questo metodo di un "conto-hack".

Answer 4

Un sito web e dei suoi amministratori non devono conoscere la password in chiaro dei suoi utenti. Ci dovrebbe essere solo un one-way hash della password memorizzata per il confronto in occasione di eventi di autenticazione. Quindi, l'invio di un testo chiaro password non deve essere un'opzione.

Personalmente mi piace il link di reimpostazione password inviata all'utente. Ricordarsi di scadenza che puntano però. Inoltre, informare l'utente via e-mail dei tentativi di reimpostazione della password (può essere la stessa e-mail come il link di reimpostazione), così dopo il reset di successo.

Answer 5

Un ulteriore approccio al link di reimpostazione della password può essere quello di creare una chiave casuale che non va nel collegamento all'e-mail che l'utente dovrà inserire una volta che il collegamento è stato cliccato. Questo aiuterebbe contro le persone catturare l'e-mail.