최신 웹 애플리케이션에서 암호 검색을위한 효과적인 기술
https://stackoverflow.com/questions/910856
-
06-09-2019 - |
italiano
english
français
española
中国
日本の
العربية
Deutsch
한국어
Português
Russian문제
우리는 비밀번호 검색의 기존 웹 앱 기능을 구현 해야하는 웹 애플리케이션에서 작업하고 있습니다. 트렌드에 따르면 .. 같은 접근법이 있습니다.
- 비밀번호 전송 링크 링크는 사용자의 이메일로 링크합니다.
- 비밀번호 복구를 위해 사용자에게 비밀 질문을합니다.
- 기존 비밀번호를 재설정하고 새 비밀번호를 생성하고 사용자에게 전송합니다. 또한 다음 로그온시 사용자가 암호를 변경해야 할 수도 있습니다.
비밀번호 검색 메커니즘을 구현하기위한 비 전통적인 기술이 있습니까? 당신이 이것에 대해 시도한 다른 접근법은 무엇입니까?
감사.
해결책
그것은 당신이 목표로하는 보안 수준, 지원 비용 및 유용성 문제에 따라 다릅니다.
비밀번호 재설정 링크 이메일은 여러 가지 이유로 선호되는 접근 방식입니다.
지원 비용 - 이것은 비즈니스 관점에서 가장 큰 요소입니다. 사용자는 종종 암호 힌트조차 잊어 버리거나 가짜 우편 주소를 사용하거나 사용자 이름을 잊어 버립니다. 이 모든 것은 지원 요청을받을 수있는 합법적 인 우려입니다. 이로 인해 또 다른 문제가 발생합니다. 최근 계정 활동과 그렇지 않은 것에 대해 사용자의 정당성을 설정해야합니다. 그 수준의 지원을 제공하지 않으면 많은 초보자 사용자가 실망 할 것입니다. 비밀번호 재설정 링크 이메일은 사용자에게 일반적으로 하나 또는 두 개의 이메일 주소가 있고 이메일 주소를 제공하여 사용자 이름/암호를 쉽게 복구 할 수 있으므로 이러한 문제를 완화합니다.
보안 문제 - 이것은 기술적 인 관점에서 가장 큰 요소입니다. 여기에는 무게가 필요한 다양한 우려가 있습니다. 손상된 이메일 계정은 해커가 비밀번호 재설정 링크를 이메일로 보낼 수있는 모든 사용자 서비스에 액세스 할 수 있음을 의미합니다. 비밀번호 재설정 링크를 사용자에게 이메일로 보내는 중간지면에 정착 할 수 있으며, 이는 비밀번호 힌트 질문을 요청하여 암호를 재설정 할 수 있습니다. 다시 말하지만, 당신은 어떤 매체에도 사용자의 비밀번호를 노출해서는 안됩니다. 실제로, 당신이 그들에게 암호를 보여줄 수있는 능력이 있다면, 당신의 시스템은 SHA-1과 같은 보안 해시를 사용하지 않는다는 것을 의미하고 회사의 개발자가 모든 사람의 비밀번호를 얻을 수 있다는 것을 의미하기 때문에 시스템이 이미 안전하지 않다는 것을 이미 안전하지 않습니다.
유용성 - 이것은 사용자 관점에서 가장 큰 요소입니다. 비밀번호 재설정 링크를 이메일로 보내려면 사용자가 가서 이메일 주소를 확인해야합니다. 이는 작업을 달성 할 시간이 최대 2 또는 3 분이 될 수 있음을 의미 할 수 있습니다. 그러나 나는 이것이 큰 문제가 아니라고 생각합니다. 대부분의 사용자는 자신이 잘못되었다고 생각하기 때문에 이것을 신경 쓰지 않는 것 같습니다. 이는 최선의 이익의 보안 조치입니다. 나는 개인적인 경험에서만 가설을 세우고 있으며 일반적으로 사용자는 다르게 느낄 수 있습니다. 사용자는 비밀번호를 검색 할 필요가없는 경우 사용자가 거의없는 경우 사용자 경험보다 우선 순위가 높아질 것입니다 (사용자는 오랫동안 로그인하지 않았고 비밀번호를 잊어 버렸습니다. 사용자가 다시 설치 한 브라우저에 비밀번호를 저장했습니다. 다른 가장자리 케이스).
다른 팁
실제로 본 다른 옵션은 다음과 같습니다.
- 휴대 전화와 함께 사용되는 슈퍼 핀과 같은 문제가 발생하면 두 번째 암호를 허용합니다.
- 사용자가 계정 생성에서 다운로드하고 USB 스틱에 저장하는 파일 토큰 (일반적으로 PGP 키)을 작성하거나 나중에 사용하도록 보관하십시오. 문제가 있으면 사용자는 토큰을 업로드하여 자신이 계정의 "소유자"임을 증명하고 응용 프로그램은 사용자가 비밀번호를 변경하도록 허용하는 것보다 응용 프로그램입니다. 이것은 일정한 토큰 또는 여러 토큰이있는 파일 (온라인 뱅킹 탠과 유사) 일 수 있습니다. 토큰을 사용할 때마다 무효화됩니다.
위의 방법은 구현하기가 간단하지는 않지만 매우 사용자 친화적입니다 (새로운 것이없고 매일 상황에 다른 존재가 있기 때문에).
제 생각에는 비밀번호 재설정 링크를 사용자의 이메일로 보내는 것이 가장 좋습니다. 이것이 Digg가하는 방식이며 이것이 제가하는 방식입니다.
그러나이 방법에서는 사용자가 자신의 이메일에 액세스 할 수있는 사용자에게 의존해야합니다.
비밀 질문 방법과 관련하여 : 비밀 질문의 대답은 우리가 원하는만큼 비밀이 아닙니다. 이 "계정 사업"의이 방법을 차단하는 것이 사용자의 최선의 이익 일 것입니다.
웹 사이트와 관리자는 사용자의 명확한 텍스트 비밀번호를 알아야합니다. 인증 이벤트에서 비교를 위해 저장된 암호의 일방 통행 해시 만 있어야합니다. 따라서 비밀번호를 보내는 것이 옵션이되어서는 안됩니다.
개인적으로 나는 사용자에게 전송 된 비밀번호 재설정 링크가 마음에 듭니다. 그래도 해당 링크를 만료해야합니다. 또한 성공적인 재설정 후에도 비밀번호 재설정 시도 (Reset 링크와 동일한 이메일이 될 수 있음)의 이메일을 통해 사용자에게 알리십시오.
비밀번호 재설정 링크에 대한 추가 접근 방식은 링크가 클릭되면 사용자가 입력 해야하는 이메일 링크에서 나오지 않는 임의의 키를 만드는 것일 수 있습니다. 이것은 이메일을 캡처하는 사람들에게 도움이 될 것입니다.
