passwords - 存储 secret 问题的答案比存储密码更安全吗？

Question

阅读当前 recent question 的最佳答案是什么关于如何/是否向用户发送密码，我很好奇最受欢迎的答案如下......

1. 以可检索的方式存储密码是不安全的
2. 在 secret 问题的帮助下使用重置功能是一种有效的替代方案

(这两点看起来很矛盾。)

为了安全起见，我使用散列密码，但我一直认为密码问题和答案方案的安全性更低，因为它们实际上给出了答案可能是什么的提示。 (我经常使用 .NET 的默认成员资格提供程序。)

是否有什么东西是我因为懒得使用问题和答案而遗漏的？不包含任何定时电子邮件重置功能的 secret 问题和答案是否比在数据库中存储密码更安全？

<小时/>

跟进:Microsoft's membership provider使用与存储密码相同的格式来存储 secret 问题的答案。如果您为密码指定散列，那么它将以相同的方式存储 secret 答案。

从下面的帖子来看，如果使用的话， secret 问题/答案机制只能在电子邮件重置方案之外使用，而不是替代，并且应该被散列为出色地。当然，这可能会给像我这样在 secret 答案部分放入长随机字符串的人带来问题。

Answer 1

密码是“ secret ”问题的答案。这个问题是，“你的密码是什么？”。

正如 Scunliffe 指出的那样，添加额外的用户输入字段可能会也可能不会提高密码的安全性 - 这取决于用户的实践。