"पासवर्ड भूल गए" - इसे कैसे संभालना है?

Question

मैंने इस उत्तर को पढ़ा और एक टिप्पणी ईमेल द्वारा पासवर्ड न भेजने के लिए कहा:

पासवर्ड ईमेल द्वारा पुनर्प्राप्त करने में सक्षम नहीं होना चाहिए, मुझे इससे नफरत है। इसका मतलब है कि मेरा पासवर्ड सादे पाठ में कहीं संग्रहीत है। इसे केवल रीसेट किया जाना चाहिए।

यह मुझे पासवर्ड भूल जाने से निपटने का प्रश्न उठाता है?

किसी भी कीमत पर कच्चे पासवर्ड को किसी भी यूआई में प्रदर्शित किया जाना चाहिए ताकि उपयोगकर्ता इसे पढ़ सके। तो "पासवर्ड भूल गए" को संभालने का तरीका क्या होगा

Comments

मैंने PHPBB पासवर्ड सुविधा को भूलते हुए सिर्फ 15 मिनट बिताए।

— पीटर टर्नर

पासवर्ड रीसेट प्रक्रिया

— gnat

@gnat क्या आपको यह जांचने का मौका मिला कि दोनों में से सबसे पुराना कौन था?

— गोपी

@TechJerk प्रश्नों की उम्र यहां बताई गई

— gnat

Answer 1

एक अच्छा एप्लिकेशन डिज़ाइन उपयोगकर्ता पासवर्ड को स्पष्ट रूप से पुनर्प्राप्त करने में सक्षम नहीं होगा। ऐसा इसलिए है क्योंकि आमतौर पर इसे किसी प्रकार के हैश के माध्यम से चलाने के बाद संग्रहीत किया जाता है, जो एक तरह से ऑपरेशन है।

खोए हुए पासवर्ड को संभालने का सबसे अच्छा तरीका एक रीसेट करना है, उपयोगकर्ताओं को ईमेल एक उत्पन्न पैरामीटर के साथ एक लिंक खाता है जो उस पर किए गए एक प्रश्न के रूप में पहचानता है जो खाते में सवाल के लिए एक वैध पासवर्ड रीसेट के रूप में पहचान करता है। इस बिंदु पर वे एक नया पासवर्ड सेट कर सकते हैं।

इससे आपको लगता है कि आपके पास फ़ाइल पर एक उपयोगकर्ता ईमेल पता है।

Comments

अतिरिक्त "सर्वोत्तम प्रथाएं" हैं, जो महत्वपूर्ण नहीं हैं (जैसे कि पहले स्थान पर पासवर्ड संग्रहीत नहीं करना), समय पर अनुमति देना चाहिए, अगर कुछ घटनाओं पर अस्थायी एक्सेस टोकन समाप्त होने और समय के साथ अनुमति देता है (ताकि किसी के खाते सहित) समझौता नहीं है अगर उसका इनबॉक्स है)।

— स्टीवन

Answer 2

आपको उपयोगकर्ताओं को मुख्य पासवर्ड को प्लेनटेक्स्ट के रूप में संग्रहीत नहीं करना चाहिए, लेकिन आप एक अस्थायी पासवर्ड को प्लेनटेक्स्ट के रूप में स्टोर कर सकते हैं, अर्थात

उपयोगकर्ता का पासवर्ड रीसेट करता है -> अस्थायी पासवर्ड बनाया जाता है -> अस्थायी पासवर्ड ईमेल के माध्यम से भेजा जाता है -> उपयोगकर्ता को अगले लॉग इन में पासवर्ड बदलने के लिए मजबूर किया जाता है (नया पासवर्ड शायद पासवर्ड नहीं हो सकता है)

Comments

मैंने इसे कई साइटों में किया है। जब आप यह तर्क दे सकते हैं कि एक मेल स्नूपर पासवर्ड प्राप्त कर सकता है, तो वे अन्य अस्थायी टोकन आदि भी प्राप्त कर सकते हैं जिन्हें आप ईमेल करेंगे। यह दृष्टिकोण उपयोगकर्ता के लिए सरल है (वे कॉपी और पेस्ट कर सकते हैं या यहां तक ​​कि अस्थायी पासवर्ड टाइप कर सकते हैं) और सुरक्षा हिट नहीं लेते हैं।

— केट ग्रेगोरी

जब तक कोई मेल सर्वर (यानी एचटीटीपीएस या टीएल 3 से अधिक पीओपी के माध्यम से वेब मेल) से कनेक्ट करने के लिए सुरक्षित तरीके का उपयोग नहीं कर रहा है, ऐसे संचार को आसानी से सूँघा जा सकता है। उस स्थिति में कुछ "haX0r" आसानी से अन्य उपयोगकर्ता के खाते में प्रवेश कर सकता है। इसलिए यह बुरा विचार है। रीसेट लिंक भेजा जाना चाहिए क्योंकि क्रिस सुझाव देता है और सुरक्षा के साथ सवाल पूछा जाना चाहिए ताकि उपयोगकर्ता को अपना पासवर्ड बदलने से पहले वास्तव में बता सके। अभी भी 100% सुरक्षित नहीं है (क्योंकि कई बार ऐसे सुरक्षा सवालों के जवाब आसानी से अनुमान लगाए जा सकते हैं), लेकिन मैं कोई बेहतर समाधान नहीं देख सकता।

— पावेल डिडा

@Pawel Dyda एक रीसेट लिंक भी सूँघा जा सकता है, अगर आपके ईमेल को सूँघा जा रहा है, तो मुझे लगता है कि आपके ईमेल में टेम्प पासवर्ड होना आपकी चिंताओं से कम है।

— वाइपर_एसबी

इसलिए मैंने सुरक्षा प्रश्न के बारे में लिखा।

— Paweł Dyda

Answer 3

टिप्पणी ईमेल में मूल पासवर्ड भेजने, ईमेल में कुछ भी नहीं भेजने के खिलाफ है। यदि संस्थान मूल पासवर्ड भेज सकता है, तो इसका मतलब है कि उनके पास यह है, और यह एक सुरक्षा समस्या है। टिप्पणीकार ईमेल के माध्यम से पासवर्ड भेजने के खिलाफ बहस नहीं कर रहा था, क्योंकि ज्यादातर मामलों में यह बहुत आवश्यक है।

उचित तरीका यह है कि जो भी कारण हो, एक बार एक नया पासवर्ड असाइन करें। शायद यह पहले से ही सिस्टम द्वारा समाप्त हो गया है, शायद यह सिर्फ एक पेज में लॉग इन करता है पासवर्ड बदलने के लिए जो गतिशील रूप से एक बार और केवल एक बार उत्पन्न होता है, जो भी हो।

Answer 4

मुझे जो चीज सबसे अच्छी लगती है, वह यह है कि एप्लिकेशन को एक ईमेल लिंक पर उपयोगकर्ता को एक ईमेल भेजने के लिए एक बार के लिंक के साथ मान्य है जो एक्स घंटे के लिए वैध है जो "चेंज पासवर्ड" पेज प्रदान करता है।

उपयोगकर्ता तब पासवर्ड सेट कर सकता है जैसे कि उसे ईमेल में डाले बिना वह पसंद करता है।

Answer 5

मेरे क्रेडिट कार्ड प्रदाता के पास एक "पासवर्ड भूल गया" विकल्प है जो आपसे कुछ सुरक्षा प्रश्न पूछता है (यह अपने आप में बहुत सुरक्षित नहीं है लेकिन बहुत सारे बैंक ऐसा करते हैं) और फिर एक नया कोड तैयार करता है और आपको स्क्रीन पर आधा देता है और दूसरी छमाही को ईमेल करता है आप। इस तरह आप वेब पेज और ईमेल पते दोनों तक पहुँच के बिना खाता नहीं तोड़ सकते।

मैंने थोड़ी देर पहले प्रयोज्य दृष्टिकोण से इसके बारे में थोड़ा पूछा है ।