通过电话更改密码有什么影响？

Question

我维护的应用程序提供标准密码重置脚本。我的雇主希望为我们的支持代表添加一个工具，手动将密码设置为他们自己选择的密码，并通过电话将密码提供给客户。

我的应用程序中的安全性预计会是一流的，所以这会在我脑海中设置各种警告。

除了允许支持人员了解客户密码的明显禁忌之外，在这种情况下我应该注意哪些其他安全隐患？如果是欺诈，这会增加我们的法律责任吗？

Answer 1

我对此的看法是，您必须为客户提供重置密码的能力。客户将忘记密码并重置密码。假定亲自与客户见面并确认他们的身份是不可能的，所以在人们验证了客户的身份（以某种方式认为足够）后，也可以通过电话完成。任何书面形式的通信（如电子邮件）几乎可以保证在某处存档，因此以该形式使用密码是个坏主意。电话交谈也可能被录制，但至少它不可搜索。 YMMV。

话虽这么说，你通过电话发出的东西肯定应该是一个临时密码，需要在客户第一次登录时更改（最好只在很短的时间内使用） 。否则，您的员工将知道客户的密码！

我不能说法律责任。

Answer 2

由于通过电话无误地传输强大的随机密码很难，如果有机会，支持人员可能倾向于选择弱密码（例如字典单词和一些字母）。此外，他们可能会写下密码，以防客户误听并回电，这可能会导致更多人知道密码。