security - Web 应用程序中安全问题的最佳实践

Question

我正在开发一个网络应用程序——不管你信不信——用户不需要提供他们的电子邮件地址来注册。这些要求不能改变。用户将使用 ID 和密码登录系统，就像任何标准网站一样。我面临的问题与忘记密码的用户有关。当他们想要生成一个新的时，我如何验证他们的身份？

最初，我打算让用户选择一个安全问题(从 5 个列表中)并提供答案。如果他们曾经进入忘记密码页面，他们就必须输入他们的登录 ID，以及他们的安全问题的答案。这似乎有点不安全，因为这类问题(母亲的娘家姓、出生地等)的答案通常并不难获得。

所以这是我的一些问题:

安全问题是解决此问题的最佳方法吗？

如果是这样，最好的问题是什么？

用户需要输入多少个问题的答案？

是否有必要在忘记密码页面上放置验证码？

用户自己提出问题会更好吗？

任何关于此事的帮助/评论/文献将不胜感激。

Answer 1

我不记得位置了，但是如果您对基于知识的身份验证进行谷歌搜索，您会发现问答身份验证非常弱。一个重要的问题是潜在答案和实际答案的熵(可能的随机性)。如果您要求一种最喜欢的颜色，那么大多数用户会选择的颜色列表实际上非常少。这可能值 1 位熵。然后，如果您问第二个问题，例如您长大的城市，这可能会让您再获得一两个熵(在墨西哥，这个答案的 3 个城市中的每一个都有 30% 的机会)。

我看到的一个估计是，要获得与 8 个字符密码相同的强度，您需要大约 26 个问题。

也就是说，您也许可以做其他事情来联系用户。您可以尝试向用户发送短信而不是电子邮件 - 用户是否注册了电话号码？您可能让用户在他们的计算机上存储一个证书，他们可以将其与密码重置请求一起上传(您必须努力确保该证书与计算机相关联)。您可能会做一个注册后的事情，用户可以提交一个电子邮件地址。

祝你好运!