modo sicuro per fare recupero password / ripristino?

Question

Prima di iniziare, la mia ragione per non usare OAuth è io credo che non sia davvero qualcosa dovremmo utilizzare su questo progetto, stiamo prendendo di mira una piattaforma che verrà confezionato e rivenduto alle aziende, che si collegano alla propria serie di usi che in realtà non vogliono avere conti che non siamo% 100 in controllo di, non vogliamo che sia un-accesso condiviso con altri servizi, e noi non vogliamo costringere le persone a ottenere una google / yahoo / OpenID / AOL / facebook / blogger / wordpress / qualsiasi conto.

Ora, Quello che vorrei è il modo migliore per consentire agli utenti di re-impostare una password.

Io odio il concetto di segreto-domande: che scuola hai goto? Beh, consente di controllare la vostra pagina di Facebook. Qual è stato il vostro insegnante di prima elementare? Consente solo chiedere loro con indifferenza.

Odio utilizzando one-time-password via e-mail: Da quando si e-mail è sicuro? Il tuo capo lo legge. Il tuo l'invio di email di spam per me ogni giorno. E 'andato nella vostra spazzatura-bin. Non è spedito criptato.

Non voglio usare una password per reimpostare una password sia. Questo semplicemente non ha senso.

Sono davvero a corto di idee qui per il modo migliore per fare questo, quindi immagino che vorrei chiedere alla comunità.

Answer 1

Il tuo problema è che è necessario dare in outsourcing la fiducia. Se l'utente dimentica la propria password, non avete più un diretta modo di fidarsi di loro, quindi bisogna usare una fonte esterna per ristabilire il vostro rapporto.

Se si pensa che la posta elettronica è insicuro (che è, in realtà), si potrebbe provare telefonica. Dare loro una chiamata con la password temporanea. O un fax. O posta lumaca, o uno SMS, ecc.

Questa è sicuro come le linee telefoniche / vettori postali su cui viaggia il reset, e nella maggior parte delle aree, intercettazioni telefoniche o manomissione del mail è rigorosamente punito dalla legge.

Se questo non va bene, prendere in considerazione l'emissione di utenti un token OTP, o smart card, o qualcosa del genere.

Answer 2

Blocco essere in grado di controllare la persona in persona, penso che hai elencato tutte le opzioni ragionevoli che ho visto. A mio parere l'one-time-password tramite e-mail è l'opzione superiore come le persone tendono ad almeno vogliono mantenere la loro e-mail privato. Io personalmente odio domande segrete - troppo grande di una possibilità di risposte che sono pubbliche (vedi Sarah Palin incidente e-mail). Se avete intenzione di fare domande segrete, almeno permettere all'utente di scegliere le proprie domande.

Answer 3

Credo che questo richiede un'implementazione difficile, ma l'invio di una nuova password al telefono cellulare dell'utente come un messaggio di testo può essere una soluzione alternativa. I telefoni cellulari sono molto più sicuro di casella di posta elettronica personale.

Quindi, gli utenti sono invitati a inserire i loro numeri di cellulare. Gli utenti che non vogliono che la funzionalità vengono fornite nuove password via email.

Answer 4

agli utenti di effettuare selezionare un segreto (o le immagini). O l'utente make caricare la propria immagine.

Questo funziona meglio di domande segrete . domande segrete hanno due problemi comuni:

1. utente dà una risposta che può essere facilmente ottenuto da altri.
2. utente conosce primo problema e invece di un reale risposta dà una casuale risposta, in seguito a dimenticare se stessi ciò che è stato.

Rendendo all'utente di selezionare un'immagine segreta (s) o, meglio ancora caricare le proprie immagini. Sarà più facile per l'utente a recuperare in un secondo momento, quando il recupero della password, dal momento che è più facile fare associazioni visive.

Quando si ripristina la password utente presente con diverse opzioni fra cui scegliere la giusta immagine.

Answer 5

Quindi, si vuole realmente l'utente a dimostrare che è chi sostiene di essere, senza informazioni rivelatrice di se stesso (supponendo che si può ottenere tutte le informazioni con l'hacking sociale)

Ci sono 3 modi per l'autenticazione: qualcosa che si sta (biometria), qualcosa che hai (dongle per esempio) e Qualcosa si sa (password, risposta ...). l'autenticazione a 2 o 3 vie è molto più sicuro rispetto a 1 via.

Password Reset / recupero, per definizione, riduce la sicurezza della procedura di autenticazione, perché la sua non la società, ma (A o B). (A = la password, B = recuperare-password)

Di conseguenza, anche se la procedura di autenticazione è 1-vie (password), i processi di recupero dovrebbe essere un autenticazione a 2 vie.

vedi Let quali sono le opzioni per il processo di recupero della password:

1. Qualcosa di sei (SysAdmin che si riconosce - di solito non va bene per l'organizzazione 5000 lavoratori, Voice-print - troppo costosi da implementare, ...)
2. Qualcosa si dispone (account e-mail, numero di telefono, ...)
3. qualcosa che si sa (dati personali)

Si noti che tag aziendale-ID con l'immagine è un autenticazione a 2 vie (sia qualcosa di sei e qualcosa che hai).

Credo che la procedura migliore è per il dipendente di andare fisicamente al reparto IT, mostrare il suo ID immagine, e chiedere un reset della password.

Se questo è fattibile (troppo lontano - un ramo a distanza, ad esempio), tenta di utilizzare un deligator che è riconosciuto e ci si può fidare al telefono, in modo che il lavoratore dovrà mostrare l'ID-tag per un deligator locale.

Se non è possibile utilizzare il 'qualcosa che si sta' - si è lasciato con qualcosa che si deve (e-mail, telefono numero, il proprio PC) e qualcosa che si sa (dati personali ...). Non si può sfuggire.