Защита временных паролей, отправленных по электронной почте пользователям?

У меня есть простое веб-приложение, в котором администраторы могут создавать пользователей. Пользователи не создают себя. Все, что нужно сделать администратору - это ввести имя пользователя и адрес электронной почты, и пользователю будет отправлен временный пароль для входа в систему. Это электронное письмо отправляется в текстовом формате. Если пользователь регистрируется в первый раз, они должны изменить свой пароль и ввести секретный вопрос и ответ. Пользователь, очевидно, должен знать свой временный пароль для входа в систему в первый раз, и это единственный способ сообщить им (через электронную почту). Другой вариант заключается в том, чтобы администратор вызывал пользователя и рассказывал им по телефону или лично своему временному паролю, но это нецелесообразно. Как я могу справиться с такой ситуацией?Защита временных паролей, отправленных по электронной почте пользователям?

источник

2009-10-26 Xaisoft

Является ли это безопасным для вас e-mail? – JasonS

Обычно я использую временный url на основе записи приглашения на заднем конце. По существу, вы создаете запись приглашения и генерируете хэш на основе некоторой информации, возможно, адреса электронной почты пользователей, временной метки и случайного значения. Сохраните хэш как часть записи приглашения, а затем отправьте им URL-адрес с хешем в качестве параметра.

Когда они нажимают на поиск ссылок, приглашаем и проверяем, что он существует и не использовался, - затем разрешите им установить свой пароль и аннулировать приглашение.

Он избавляется от необходимости отправлять какой-либо пароль, и вы также можете установить истечение срока действия в ваших пригласительных записях, если хотите.

источник

2009-10-26 17:19:26 paulthenerd

Что вы подразумеваете под приглашением записи? – Xaisoft

В записи приглашения я имею в виду запись базы данных, которая записывала бы хеш приглашения, адрес электронной почты пользователя и временные метки и/или информацию об истечении срока действия для приглашения – paulthenerd

Сценарий, который вы описываете, очень распространен: отправка временного пароля и его изменение при первом входе в систему. Если у вас нет конкретной проблемы с этой моделью, я не вижу причин не использовать ее. У пользователей административного вызова может возникнуть сложность - я бы избегал этого любой ценой.

источник

2009-10-26 17:07:35

Да, вызов администратора, вероятно, разозлит администратора, если вы сказали им, что они должны это сделать. Мне было просто интересно, есть ли какие-либо способы добавить дополнительный уровень безопасности, поэтому я могу быть немного увереннее, что это тот человек, которого я отправил по электронной почте временному паролю, который фактически меняет пароль. – Xaisoft

Вы можете создать собственный URL-адрес с паролем и пользовательским хэшем в качестве аргумента, в котором пользователь должен сам регистрироваться. Хеш будет трудно получить, если у злоумышленника нет информации

источник

2009-10-26 17:08:55 Gregoire

Можете ли вы подробнее рассказать об этом? Вы имеете в виду как url с GUID? – Xaisoft

да и отправить этот URl пользователю по почте – Gregoire

Я немного смущен, разве это все еще требует от меня отправки временного пароля по электронной почте? – Xaisoft

Защита временных паролей, отправленных по электронной почте пользователям?

ответ

Смежные вопросы