我想知道是否有人曾经使用，构建或看过一个完全联机的密码重新生成工具，并且不需要发送某种密码重置电子邮件。
我理解安全方面的问题，我完全接受这样的想法：这不是一种处理事情的安全方式，但我的雇主已经委托我调查这种类型的解决方案。我觉得我以前用过这样的东西。
我们主要关注的是电子邮件垃圾邮件过滤器抓取丢失的密码电子邮件。如果有关于格式化这些电子邮件的最佳做法，那么发送它也是一件好事。
有什么想法吗？
感谢
克雷格
答案 0 :(得分：1)
我所知道的唯一安全选择是在提出安全问题后提供密码重置页面（母亲的婚前姓名，但最好是用户可配置/更安全的东西）。
答案 1 :(得分：1)
几乎所有安全都依赖于以下三件事的不同组合
并使用它们，对于给定的可能性级别，以验证当前交易中的对方是否与您拥有原始合同的同一方。
真的是所有“在线身份”都是 - 现在与我交谈的人是我昨天被介绍过的人的可能性。
例如，密码是一个共享秘密，双方都知道并假设具有该秘密的其他人可能是他们认为的人的可能性。
这很容易。
安全问题（母亲的娘家姓）只是第二个密码，以防忘记第一个。
OpenID是值得信赖的第三方方法。 Stackoverflow信任谷歌。我尝试登录 stackoverflow和SO将我传递给谷歌。所有SO看到谷歌回来说“是的他是”。
但是，与电子邮件渗透相比，OpenID很难使用，因此它无法用作恢复选项。
电子邮件密码重置是涉及受信任的第三方的直接共享密钥的示例 - 双方都“信任”gmail，因此可以向gmail发送共享密钥，并相信在给定的可能性级别，只有另一方才能访问该共享密钥。
最后，加密可以用作受信任的第三方。如果我知道您的公钥，我可以“信任”RSA并通过加密将其存储在我的网站上来存储新密码。只有您可以阅读它，因此它可以作为即时在线密码重置工作。但PGP / GPG的渗透率远比OpenID差，这个想法是非启动性的（*）
您需要的是您在合同时收集的第二个通信渠道 - 通常是电子邮件，可以是openid，手机号码或他们的GPG公钥。 但是，必须在签订初始合同时收集该频道。
谈到手机，我确实在我当地的手机店看到了一个整洁的 - 他们给我发了一个随机密码，然后销售助手在到达我的手机时输入了密码 - 证明手机所有者在店里并且合规。 （对于给定的可能性水平）。
（*）实际上我认为有一个解决方案 - http://www.itmanagerscookbook.com/Attitude/identitycrisis.html。您可以告诉我们尝试表达上述概念是一项持续的努力。