security - 安全的方法来重置密码或提供旧密码

Question

处理忘记的密码/密码重置的最安全方法是什么？我应该通过电子邮件将密码发送给用户吗？如果是这样，您是否要强制他们重置它？还是让他们立即将其重置(不发送电子邮件)并要求其他信息以确认是否是他们？还是有更好的方法？

Answer 1

您无法通过密码将密码发送给用户，因为您不知道该密码。您已经通过applying something like PBKDF2 or bcrypt将其“哈希”到了存储中，对吗？

如果您在未与帐户所有者确认密码的情况下重置密码，则攻击者可以使用受害者的电子邮件地址来请求重置，从而至少在所有者检查其电子邮件之前，拒绝所有者对其帐户的访问。

对于许多应用程序而言，一种足够安全的方法是将包含大量随机生成的数字的链接通过电子邮件发送给帐户所有者。该 token 仅在有限时间内有效。如果所有者希望重设密码，请单击该链接，然后将其认证为帐户所有者。然后，帐户所有者可以指定一个新密码。