我的公司正在开发在线人力资源和薪资应用程序，其中安全访问至关重要。我清楚如何锁定大多数身份验证/授权过程，但“忘记密码”页面除外。
我最初的计划是要求用户输入电子邮件地址和对先前选择/输入的质询问题的答复，并将临时密码邮寄到列出的电子邮件（假设电子邮件有效）。但我读过here and here（都在 SO 上）挑战-响应方法是不安全的。
如果我们只是通过电子邮件发送临时密码，那么它真的那么不安全吗？我能想到的唯一更安全的选择是要求用户致电他们的客户服务代表，这将极大地增加我们员工的负担。
我错过了什么......有更好的方法吗？谢谢！
不要通过电子邮件发送临时密码，而是通过电子邮件向用户发送 URL + 令牌以重置密码页面。这样一来，任何未加密的密码都不会转手。如果最终用户尝试访问该页面并且重置令牌已被使用，那么最终用户也可以立即明显地看出他们的帐户已被盗用。
从评论中添加：
我认为挑战-响应（“秘密问题”）方面实际上使事情变得不那么安全，因为它们通常可以通过研究有关目标的公共信息来发现。总步骤越少，在无人知晓的情况下被破坏的步骤就越少。尽早且经常进行重置电子邮件是让人们知道正在尝试的好方法。
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
