Porque é que a abordagem de desafio-resposta uma má solução para senhas esquecidas?

Question

Minha empresa está desenvolvendo um RH on-line e aplicação de folha de pagamento, onde assegurar o acesso é crítica. Eu estou claro sobre como bloquear a maioria dos processos de autenticação / autorização, exceto para a página 'Esqueceu sua senha?'.

Meu plano inicial era para exigir que o usuário digite tanto um endereço de e-mail e uma resposta a um / pergunta desafio entrado previamente selecionados, com uma senha temporária que está sendo enviado para o e-mail listado (assumindo que o e-mail é válido). Mas eu li aqui e here (tanto no SO) que a abordagem de desafio-resposta é inseguro.

Se estamos apenas e-mails uma senha temporária, porém, é realmente tão inseguro? A opção só é mais seguro que eu posso pensar seria exigir que o usuário para chamar de seu Serviço Rep cliente, o que seria de grande carga nossos funcionários.

O que estou ausente ... existe uma abordagem melhor? Obrigado!

Answer 1

Do not enviar e-mail uma senha temporária, enviar e-mail ao usuário uma URL + token para uma página de redefinição de palavra-passe. Dessa forma, nenhuma senha está sempre mudando mãos não encriptado. Também é imediatamente óbvio para o usuário final que a sua conta foi comprometida se eles tentarem ir para essa página e o reset sinal já foi utilizado.

Adicionado a partir dos comentários:

Eu acho desafio-resposta aspectos ( "pergunta secreta") realmente fazer coisas menos seguro, porque eles são geralmente as coisas que podem ser descobertos por pesquisar informações público sobre o alvo. Os menos etapas total, a menos que pode ser quebrado sem ninguém saber. Deixando-mails de redefinição de ir cedo e muitas vezes é uma boa maneira de deixar um ser humano conhecer a tentativa está sendo feita.

Answer 2

Como explicado neste artigo , conta de e-mail governadora Palin foi recentemente cortado usando as respostas às perguntas anteriormente feitas. Do artigo:

Conforme detalhado nas postagens, o Palin corte não requer nenhuma habilidade real. Em vez disso, o hacker simplesmente redefinir a senha de Palin usando sua data de nascimento, CEP e informações sobre onde ela conheceu seu cônjuge -. A questão de segurança em sua conta no Yahoo, que foi respondido (Wasilla High) por uma simples pesquisa do Google

Answer 3

Existem algumas maneiras comuns para gerenciar senhas perdidas:

• O Segredo Pergunta: É realmente uma forma mais fraca de autenticação, assim como as pessoas acima destacados. O usuário pode escolher algo realmente simples e é fácil de adivinhar. Eu aconselho contra isso, porque ele não requer qualquer "hacking"

técnico

• Envie uma nova senha. Para contornar este controle, o acesso à conta de e-mail é necessário ou um-In-The Middle Man-(MITM) posição é necessária: Você quer ler a senha temporária da caixa de entrada do usuário ou de interceptação no meio. Esta abordagem está maduro para uso indevido, porque qualquer um pode redefinir a senha e forçar o usuário do sistema, se ele não pode ler o e-mail com a nova senha.

• Envie para um reset hash de senha, para contornar isso, você precisa de acesso a caixa de entrada ou MITM, assim como no caso antes disso, mas nenhuma senha é realmente redefinir até a confirmação é feita. Assim, o usuário não pode ser bloqueado para fora do sistema, mesmo que ele não leu o e-mail. Adicionar um temporizador cooldown a uma redefinição por 8 horas para impedir o seu sistema de inundar caixa de entrada do usuário.

• Considere alguns fora de comunicação de banda, por exemplo, no contrato impresso, anote um PIN. Então, o usuário chamar a assistência técnica a partir de um número de telefone conhecido (cheque com Caller ID) e dar o seu nome de usuário e senha.

Answer 4

Não seria fácil / viável para terceirizar todo o gerenciamento de senhas como SO fez e usar o OpenID ou similar? Claro que isso acrescentaria uma outra dependência, mas você trocaria isso contra a necessidade de gravar (e seguro) senhas e lidar com eles como você descreveu.

Answer 5

Você disse que ele é um aplicativo de RH e folha de pagamento on-line. Você tem a opção de um usuário indicando que ele / ela se esqueceu do seu / sua senha e que a geração de uma mensagem para um representante de RH ou algum funcionário da organização que pode confirmar a identidade e, em seguida, emitir uma redefinição de senha?

Answer 6

Em suma, perguntas de desafio são muitas vezes o elo mais fraco. Eles são mais fáceis de adivinhar do que uma senha e efetivamente funcionar como um proxy para uma senha, para que eles realmente reduzir a segurança ao invés de melhorá-lo, fornecendo um outro vetor de ataque que é realmente mais fácil de quebrar. O Manual do Hacker Web Application tem algumas informações sobre a grande nesta área.