lire ce qui est actuellement la meilleure réponse à un Question récente sur la manière / s'il faut envoyer des utilisateurs leurs mots de passe, j'ai été intrigué que La réponse la plus populaire a déclaré ce qui suit ...
(ces deux points semblent contradictoires.)
J'utilise des mots de passe hachés pour la sécurité, mais j'ai toujours supposé que le schéma de questions et réponses de mot de passe est encore moins sûr car ils donnent un indice de manière à ce que la réponse peut être. (J'utilise souvent le fournisseur d'adhésion par défaut de .NET.)
Y a-t-il quelque chose qui me manque parce que je n'ai pas pris la peine d'utiliser la question et la réponse? Sont une question et des réponses secrètes, sans incorporer une fonction de réinitialisation de courrier électronique chronométrée, plus sécurisée que de stocker un mot de passe dans la DB?
Suivi: Le fournisseur d'adhésion de Microsoft utilise le même format pour stocker des réponses aux questions secrètes telles qu'elles font pour le mot de passe. Si vous spécifiez Hashed pour le mot de passe, il stockera la réponse secrète de la même manière.
des messages ci-dessous, il semble que, s'il est utilisé, un mécanisme de questions / réponses secrets ne doit être utilisé que en plus de un schéma de réinitialisation par courrier électronique, plutôt que et devrait être haché comme bien. Ceci, bien sûr, peut présenter des problèmes pour des personnes comme moi qui ont mis de longues chaînes aléatoires dans la section de réponse secrète.
13 Réponses :
Les questions et réponses secrètes ne sont aussi sécurisées que l'utilisateur les fait. Si quelqu'un sait quoi que ce soit sur vous, ils peuvent répondre à une question facile et réinitialiser votre mot de passe. Je suppose que les réponses sont également hachées, de sorte que la réponse ne soit pas directement stockée. Mais encore une fois, connaître la réponse à la question est tout ce qu'il faut.
Un mot de passe haché stocké est aussi sécurisé que la plupart des applications obtiennent, et c'est bien, car il est un moyen, et donc, le texte brut n'est jamais stocké ni récupéré.
La question et la réponse Idiom a été exploitée dans de nombreux "Hacks de messagerie" ( Exemple ) - J'éviterais certainement l'utiliser.
Il n'y a rien sécurisé à proposer un deuxième "mot de passe" qui ne change jamais et est présenté avec un indice.
Cela dépend également de la manière dont la question / réponses secrète est également liée à la question / réponses secrete.
cas au point, lorsque je suis présenté avec l'option de mettre dans une question, je mets dans quelque chose comme: Ce ne sont pas des questions / réponses réelles que j'utilise, mais je peux vous assurer que les questions que j'utilise ne donnent aucune idée de la réponse à la réponse.
D'accord, mais la plupart des "questions secrètes" sont moins sécurisées que le mot de passe en premier lieu - c'est quelque chose que les membres de la famille sauront, et que d'autres peuvent être capables de savoir sur Internet. D'une manière ou d'une autre, vous devez trouver un équilibre entre ce que vos utilisateurs peuvent se souvenir sans recourir à la rédaction de choses (défaite tout le but) et ce qui est si évident que ce n'est pas un secret de toute façon.
Pourquoi déranger alors? Vous n'êtes probablement pas le type pour oublier un mot de passe si vous pouvez vous souvenir de la réponse obscure à votre question non liée. Je remplis habituellement ces champs avec une longue chaîne de personnages aléatoires lorsque je dois (avec l'intention de ne jamais oublier mon mot de passe et que je n'ai donc jamais besoin de répondre à la question).
Je suppose que c'est l'un de ces huissards est 20/20 choses. Si seulement je devais me souvenir de 3 mots de passe, je n'oublierais jamais ... mais j'ai 20-30 mots de passe à retenir ... de sorte que les "les moins" utilisés soient oubliés. Le "web" m'a fait avoir besoin de plus en plus ... En tant que développeur I Hash Les mots de passe ne peuvent donc pas les "récupérer" pour un utilisateur, mais je fournis une option qu'une réinitialisation de mot de passe nécessite une question secrète / réponse (forme libre). Ce que je trouve pratique en général, il est de fournir un indicateur de force où l'utilisateur crée le mot de passe, afin de pouvoir voir à quel point leur mot de passe est faible (espérons-le).
mots de passe sont réponses à une question "secrète". Cette question est: "Quel est votre mot de passe?".
Comme le souligne Scunliffe, l'ajout d'un champ supplémentaire de saisie de l'utilisateur peut augmenter ou non plus la sécurité du mot de passe - qui dépend des pratiques de l'utilisateur.
Le fait est que les questions peuvent également être créées par l'utilisateur. La réponse n'est donc pas aussi prévisible qu'un mot de passe simple. La validation du facteur à double facteur est un moyen très important d'augmenter la sécurité.
Je dirais qu'une combinaison de questions / réponses secrètes est simplement une autre forme de "mot de passe". Je vais ensuite suggérer qu'une réponse secrète est probablement plus faible qu'un mot de passe régulier, car il existe rarement une suggestion qu'il devrait être autre chose que des mots ordinaires susceptibles d'attaquer les dictionnaires. Dans la plupart des cas, l'espace de dictionnaire de la réponse est considérablement raccourci par le contexte de la question (une exception de Scunliffe notée toutefois).
Si vous pouvez entrer dans le système en utilisant la question secrète, que le système est aussi sécurisé que la méthode avec laquelle la question secrète est stockée.
Toutefois, si un utilisateur utilise son même mot de passe sur d'autres systèmes, assurez-vous au moins que le mot de passe est haussement conserve le mot de passe de l'utilisateur d'être sorti sur d'autres systèmes, comme leur banque en ligne.
Un site sur lequel je suis allé (banque ou assurance maladie) m'a demandé de répondre à six questions secrètes. Pour une réinitialisation de mot de passe, ils choisiraient trois de ceux-ci au hasard et m'ont exigé de me répondre.
En outre, je présume qu'ils ne stockent que les réponses hachées, pas la version texte ordinaire. Comme DDAVIESBrackett a dit, le mot de passe est une question secrète.
C'est encore mieux si l'utilisateur est également créé par l'utilisateur.
Le creux de la sécurité de la question secrète réside généralement dans un autre support de communication de confiance. Si l'utilisateur répond correctement à la "question secrète", le serveur doit fournir un mot de passe aléatoire via la chaîne de confiance (E.G. Adresse électronique).
Ensuite, en utilisant ce mot de passe aléatoire (qui est aussi sûr que l'email de l'utilisateur), il peut l'utiliser pour vous connecter et modifier le mot de passe en quelque chose d'autre.
Cela dépend des besoins de sécurité dont vous avez besoin ... et une fois qu'ils ont déjà répondu à cette partie.
La seule chose que je dois ajouter, c'est que vous utilisez un cryptage MD5 pour stocker des mots de passe et d'autres données sensibles. Sachez que, à l'heure actuelle, il est presque impossible de découvrir la "phrase" cryptée par MD5. Vous pouvez trouver des charges d'articles en parlant. Et n'est pas difficile à mettre en œuvre dans vos projets.
Cordialement. Fábio Antunes
Je me sens comme une partie de votre question est négligée. Parce que comme vous, je vois comment nous sommes en quelque sorte surplombant le sens commun que si vous ne devez pas stocker leur mot de passe en texte brut, vous êtes prêt à stocker leur réponse à leur "question secrète" dans le texte brut puis à leur permettre de réinitialiser leur mot de passe via un Lien envoyé par courrier électronique, pourquoi même avoir une question secrète et simplement leur envoyer un courrier électronique à leur lien de réinitialisation. Bien sûr, vous pouvez aussi facilement crypter la réponse à la question.
Il semble que beaucoup de gens, moi-même inclus, écrivent leur question / réponse à certains cryptés où la question ne fournit pas d'astuce, mais je me demande toujours quand je les crée - "Si je ne me souviens pas du mot de passe Que je vais utiliser à chaque fois que je vienne sur ce site, comment vais-je me souvenir de ma réponse que j'ai fabriquée il y a 2 ans et que je n'ai jamais utilisé. "
Il semble plus probable qu'il faudra simplement une idée d'un ami ou d'un membre de la famille que vous souhaitez visser avec moi.
Je suis d'accord. J'ai été surpris de voir la meilleure réponse à la question que j'ai liée à montrer la question de la sécurité / réponse comme une alternative à une réinitialisation du mot de passe de messagerie. Je suppose que cela est destiné à être appliqué lors d'une réinitialisation par courrier électronique, pas comme une alternative. Et ... ce n'est pas clair de Microsoft, comment ces réponses de sécurité sont stockées.
Je suis d'accord comme aussi. En outre, le mot de passe de repos et envoyer un nouveau mot de passe temporaire pour que le courrier électronique soit assez acceptable.
J'utiliserais une question secrète pour déterminer si je devrais ou ne devriez pas leur envoyer un mot de passe nouvellement généré via un email. Ne jamais les laisser partir un nouveau. À la fin de la journée, tout cela revient pour le rendre aussi sûr que nécessaire. Si vous êtes une banque en ligne ou un site de réseautage fait une énorme différence.
Je me permettais d'être guidé par Owasp Ici:
ils sont inacceptables pour le raisons suivantes:
Collection d'informations sur les personnes sans son consentement explicite (comme «le nom de jeune fille de la mère») est illégal dans la plupart des régimes de vie privée. Tel la collecte est soumise à des lois sur la protection de la vie privée, Examiner et corriger par le sujet, et ainsi de suite.
Les politiques et normes de sécurité informatique telles que l'ISO 27000 interdisent la clarté stockage de texte des mots de passe, mais presque Tous les schémas de questions-réponses stockent les deux question et réponse dans le clair
Les informations dans les réponses sont publiques pour une bonne partie de la utilisateurs d'Internet, et est donc trouvé en utilisant des sources publiques
Edit (2018): OWASP semble avoir réorganisé leurs matériaux. La machine de navigation capturée une copie du Page originale .
Je n'ai pas connu "ISO 27000 interdistrer le stockage de texte clair des mots de passe". Toujours apprendre .. thks. Nice lien pour la ligne directrice aussi.
Une autre idée fausse de sécurité couramment détenue est déjouée. L'OWASP doit être obligatoire pour que quiconque développe un système d'information disponible publiquement.
"Salutations, professeur Falken." ou Pourquoi ce n'est pas une bonne idée de fonder un système d'authentification sur des réponses non secrètes et non aléatoires - «ish».
Et si vous essayez d'être un peu délicat et de choisir des réponses aléatoires - «ish» aux questions de nom de jeune fille notoires et sont capables de les souvenir d'eux après avoir oublié votre mot de passe (et vous l'avez probablement changé quelques fois. depuis la définition de la "question secrète".
Nay, l'ensemble du schéma de questions secrètes est bâclé depuis le début. Pour un démarrage, la question n'est pas secrète mais révélée à quiconque prétendait avoir mal faibli votre mot de passe.
Indépendamment de la sécurité, je déteste ces questions. Je ne me souviens jamais de quelle école élémentaire mon animal de compagnie préféré est allé à la jeune fille de mon oncle de ma mère.
J'utilise toujours une longue chaîne de caractères générés au hasard si je suis tenu de saisir une question de sécurité et de répondre, généralement avec une question de "aléatoire".
En regardant les champs générés dans la table aspnet_membership pour le fournisseur par défaut, il existe des champs PasswordFormat et PasswordSalt qui suivent le champ Mot de passe. Cependant, le mot de passe de passe de passeStion & PaketSwer n'a pas de champs de ce type. Je pensais qu'ils pourraient utiliser du texte clair, donc je n'ai jamais utilisé ces options.
Selon Microsoft, il apparaît que la réponse du mot de passe est stockée dans le même format que le mot de passe: msdn.microsoft.com/en-us/library/aa478949.aspx
À partir de l'utilisateur du point de vue de l'application, une option consiste à utiliser le générateur de mots de passe forte [1] S pour vos questions de sécurité. Nom de la jeune fille de ma mère est AJ3OJ2BO4HA86D6JUC Trouver quelques détails [ICI] [2] [1]: agilebits.com/onepassword [2]: discussions.AgileBits. com / discussion / 27143 / ...