安全的密码检索/重置方式？

Question

在我开始之前，我不使用OAuth的原因是我认为这不是我们应该在这个项目中使用的东西，我们的目标是打包并转售给公司的平台对于他们自己的一组用途我们真的不想拥有我们不是100％控制的帐户，我们不希望它与其他服务共享登录，我们不想强迫人们进入google / yahoo / openID / aol / facebook / blogger / wordpress /无论如何。

现在，我想要的是让用户重新设置密码的最佳方式。

我讨厌秘密问题的概念：你去过哪所学校？那么，让我们检查你的Facebook页面。你的一年级老师是什么？让我们随便问他们。

我讨厌通过电子邮件使用一次性密码：因为什么时候电子邮件安全？你的老板读了它。您每天都会向我发送垃圾邮件。它进入你的垃圾桶。它没有加密发送。

我也不想使用密码来重置密码。这没有意义。

我真的没有想法，这是最好的方法，所以我想我会问社区。

Answer 1

您的问题是您需要外包信任。如果用户忘记了密码，则您不再需要直接方式来信任他们，因此您必须使用外部来源重新建立关系。

如果您认为电子邮件不安全（实际上是这样），您可以尝试电话。用临时密码给他们打电话。或传真。或蜗牛邮件，或短信等。

这与重置所经过的电话线/邮政运营商一样安全，并且在大多数地区，电话拦截或篡改邮件都受到法律的严格惩罚。

如果这不好，可以考虑向用户发放OTP令牌或智能卡等。

Answer 2

除非能够亲自审查这个人，否则我认为你列出了我见过的所有合理选择。在我看来，通过电子邮件的一次性密码是优越的选择，因为人们往往至少想要保持他们的电子邮件私密。我个人讨厌秘密问题 - 答案公开的可能性太大（参见Sarah Palin的电子邮件事件）。如果你要提出秘密问题，至少让用户选择自己的问题。

Answer 3

我认为这需要一个困难的实现，但是将新密码作为文本消息发送到用户的移动电话可能是另一种解决方案。移动电话比个人收件箱更安全。

然后，要求用户输入他们的手机号码。不希望该功能的用户通过电子邮件提供新密码。

Answer 4

让用户选择一个秘密图像（或图像）。或者让用户上传自己的图片。

这比秘密问题更有效。秘密问题有两个常见问题：

1. 用户给出了其他人可以轻松获得的答案。
2. 用户知道第一个问题，而不是真正的答案提供随机答案，稍后会忘记自己的答案。

让用户选择秘密图像或更好地上传他们自己的图像。用户在以后恢复密码时会更容易调用，因为它更容易进行视觉关联。

当使用多个选项恢复密码存在用户时，选择正确的图像。

Answer 5

因此，您实际上希望用户证明他是他所声称的人，而不会泄露有关他自己的信息（假设您可以通过社交黑客获取任何信息）

有3种身份验证方式：你是什么东西（生物识别技术），你拥有的东西（例如加密狗）和你知道的东西（密码，响应......）。 2路或3路认证比单向认证安全得多。

密码重置/恢复，根据定义会降低身份验证过程的安全性，因为它现在不是A，而是（A或B）。 （A =密码，B =恢复密码）

因此，即使您的身份验证过程是单向（密码），您的恢复过程也应该是双向身份验证。

让我们看看您的密码恢复过程有哪些选择：

1. 你是什么东西（SysAdmin认识你 - 通常不适合5000名工人组织，语音打印 - 实施起来太贵了......）
2. 你拥有的东西（电子邮件帐号，电话号码......）
3. 你认识的东西（个人资料）

请注意，带有图片的公司ID标签是双向身份验证（无论您拥有什么，还是拥有的东西）。

我认为最好的方法是让员工亲自前往IT部门，显示他的图片ID，并要求重置密码。

如果这是不可行的（例如太远 - 例如远程分支），请尝试使用已识别且可通过电话信任的deligator，因此员工必须向本地deligator显示ID标记。

如果你不能使用'你是的东西' - 你留下的东西（电子邮件，电话号码，你自己的电脑）和你知道的东西（个人信息......）。你无法摆脱它。