2009-08-20 17 views
11

मेरी कंपनी में एक समूह हमारे अनुप्रयोगों के लिए एकल-साइन-ऑन आरईएसटी एपीआई लागू कर रहा है। इस प्रमाणीकरण सेवा में पासवर्ड रीसेट फ़ंक्शन है। एप्लिकेशन उपयोगकर्ता नाम रीसेट फ़ंक्शन पर भेजता है। यदि वह उपयोगकर्ता नाम किसी ईमेल पते से जुड़ा हुआ है, तो उस पते पर अस्थायी पासवर्ड के साथ एक ईमेल भेजा जाता है।अस्थायी पासवर्ड ईमेल करके पासवर्ड रीसेट

अन्य दृष्टिकोण ऐसी साइटें प्रतीत होती हैं जो एक सुरक्षित, अस्थायी लिंक ईमेल करती हैं जो उपयोगकर्ता को एक नया पासवर्ड इनपुट करने के लिए एक पृष्ठ प्रस्तुत करती है। यह पृष्ठ केवल थोड़े समय के लिए मौजूद है।

मुझे पता है कि ईमेल एक सुरक्षित प्रोटोकॉल नहीं है, इसलिए लोग यातायात को तोड़ सकते हैं और अस्थायी पासवर्ड या अस्थायी लिंक पुनर्प्राप्त कर सकते हैं।

क्या किसी अन्य विधि को एक विधि को प्राथमिकता देने के लिए कोई महत्वपूर्ण सुरक्षा कारण हैं? क्या ऐसा करने के लिए एक और अधिक सुरक्षित तरीका है?

उत्तर

9

दोनों मामलों में, निजी जानकारी (अस्थायी पासवर्ड या रीसेट लिंक) एक ही माध्यम पर प्रसारित होती है। इस दृष्टिकोण से, सुरक्षा में कोई अंतर नहीं है। हालांकि, रीसेट लिंक कुछ फायदों के रूप में: आप उपयोगकर्ता को नया पासवर्ड चुनने के लिए मजबूर करते हैं। जैसे ही वह ऐसा करता है, लिंक शून्य है और इसका दुरुपयोग नहीं किया जा सकता है। अस्थायी पासवर्ड, इसके विपरीत, आप जितना चाहें उतना अस्थायी नहीं होते हैं। भले ही आप उपयोगकर्ता को अगले लॉगऑन पर नया पासवर्ड चुनने के लिए बाध्य करते हैं, फिर भी वह अस्थायी एक में प्रवेश करने की संभावना है।

इसके अतिरिक्त, आप रीसेट लिंक का उपयोग करने वाले व्यक्ति के आईपी को लॉग कर सकते हैं, इसलिए यदि आवश्यक हो तो कम से कम कुछ अधिकारियों को सौंपना चाहिए।

+2

अस्थायी पासवर्ड का उपयोग करके किसी को पहचानने के लिए काफी मुश्किल है और आगे बढ़ने से पहले इसे बदलने के लिए मजबूर करें। – ceejayoz

4

आम जनता के लिए वास्तव में एक बेहतर तरीका नहीं है। यदि यह एक आंतरिक ऐप है, तो आप अनुमानित रूप से एन्क्रिप्टेड ई-मेल भेज सकते हैं जिन्हें उपयोगकर्ताओं को पीजीपी के साथ डीकोड करना पड़ता है, लेकिन जब तक कि आपके पास बहुत अधिक मूल्यवान, विशिष्ट उत्पाद नहीं है, तब तक यह बाहरी उपयोगकर्ताओं के लिए कभी नहीं उड़ता।

यदि ई-मेल आउट हो गया है, तो आपको सुरक्षा प्रश्नों जैसे कुछ उपयोग करना होगा, लेकिन उनके पास स्वयं (अधिक महत्वपूर्ण, मेरी राय में) मुद्दे हैं। मुद्दों में शामिल हैं:

  • अनुमानित। "पसंदीदा रंग" जैसे प्रश्न 'लाल', 'नीला', 'हरा' आदि जैसे सामान्य विकल्पों का अनुमान लगाने के लिए काफी संवेदनशील हैं।
  • खोजने योग्य। कई फेसबुक/माइस्पेस/ट्विटर/फ़्लिकर प्रोफ़ाइल या अन्यथा Googleable से चीजें हैं।
  • भूलभुलैया। मैंने "पसंदीदा अवकाश स्थान" चुना है और फिर एक या दो साल बाद मुझे याद नहीं आया कि मैंने क्या चुना था।
  • पार्स करना मुश्किल है। यदि मैं शहर के नाम के लिए "सेंट पॉल" टाइप करता हूं, लेकिन बाद में "सेंट पॉल" के साथ वापस आ जाता हूं, तो क्या इसे स्वीकार किया जाएगा?
+0

क्या आप सुरक्षा समस्याओं के साथ अपने मुद्दों पर विस्तृत जानकारी दे सकते हैं? – andrewWinn

+3

सुरक्षा प्रश्न या तो कुछ ऐसा पूछें जो पहले से ही किसी उपयोगकर्ता की फेसबुक प्रोफ़ाइल पर उपलब्ध है या कुछ ऐसा पूछें जिसे उपयोगकर्ता याद नहीं रखेगा। – Patrick

+0

पैट्रिक इसे एक में प्राप्त करता है। वे अक्सर अनुमान लगाते हैं ('पसंदीदा रंग' के लिए लाल, नीला चुनना आपको खातों के अच्छे प्रतिशत में मिल जाएगा), खोजने योग्य (किसी के फेसबुक/ट्विटर/आदि प्रोफ़ाइल के लिए Google), या भूलने योग्य ('पसंदीदा अवकाश स्थान' बदल सकता है - अब मेरे पास * दो * भूल गए पासवर्ड हैं!)। – ceejayoz

0

पासवर्ड रीसेट करने के कई और अधिक सुरक्षित तरीके हैं। वे सभी आपके उपयोगकर्ताओं के लिए बेहद असुविधाजनक हैं और बनाए रखने के लिए महंगी हैं। प्रत्येक उपयोगकर्ता को आपको एक डीएनए नमूना और फिंगरप्रिंट भेजते हैं और फिर उन्हें सत्यापित करने के लिए व्यक्तिगत रूप से दिखाने की आवश्यकता होती है, आपकी सुरक्षा में सहायता करनी चाहिए। मुझे आश्चर्य है कि आपका शीर्ष गुप्त संगठन आपको स्टैक ओवरफ्लो पर सुरक्षा सलाह प्राप्त करने की अनुमति दे रहा है। सभी मजाक कर रहे हैं, आपके आवेदन को कितना सुरक्षित होना चाहिए? क्या हमलावर वास्तव में आपके उपयोगकर्ता के पासवर्ड रीसेट कर रहे होंगे और फिर अपने ईमेल तक पहुंचेंगे?

xkcd हमेशा कहते हैं कि यह सबसे अच्छा http://xkcd.com/538/

9

वहाँ कोई महत्वपूर्ण सुरक्षा कारणों से एक दूसरे के ऊपर विधि पसंद करते हैं?

हां। यदि आप अस्थायी पासवर्ड मार्ग पर जाते हैं तो कोई भी रीसेट लिंक को लगातार दबाकर और उस उपयोगकर्ता के ईमेल पते में डालकर किसी उपयोगकर्ता के बकवास को परेशान कर सकता है। यदि आप पासवर्ड रीसेट लिंक का उपयोग करते हैं तो उपयोगकर्ता उन्हें अनदेखा कर सकता है और ईमेल हटा सकता है।

+0

क्या उपयोगकर्ता अस्थायी पासवर्ड ईमेल को भी अनदेखा नहीं कर सकता है? या आप सोच रहे थे कि अस्थायी पासवर्ड मार्ग उपयोगकर्ता को भी बंद कर देता है? – Patrick

+1

मुझे उम्मीद है कि नया पासवर्ड भेजे जाने पर पुराने वैध पासवर्ड शून्य हो जाएंगे। – Nifle

+0

हां, मुझे "अस्थायी पासवर्ड" का अर्थ है "आपका पुराना पासवर्ड अब अमान्य है, यहां एक नया है।" –

 संबंधित मुद्दे

  • कोई संबंधित समस्या नहीं^_^