security - 密码恢复没有电子邮件

Question

我想知道是否有人曾经使用、构建或看到过完全在线且不需要发送某种密码重置电子邮件的密码恢复工具。

我理解安全问题，并且我完全接受这样的想法，即这不是一种安全的处理方式，但我的雇主已委托我研究这种类型的解决方案。我觉得我以前用过这样的东西。

我们主要关心的是电子邮件垃圾邮件过滤器抓取丢失的密码电子邮件。如果有格式化这些电子邮件的最佳实践，那也将是一件很棒的事情。

有什么想法吗？

谢谢

克雷格

Answer 1

我知道的唯一安全的选择是在安全问题之后提供密码重置页面（母亲的娘家姓，但最好是用户可配置/更安全的东西）。

Answer 2

几乎所有的安全性都依赖于以下三件事的不同组合

• 密码证明
• 共享秘密
• 受信任的第三方

并在给定的可能性水平下使用它们来验证当前交易中的交易对手是与您签订原始合同的同一方。

真的，“在线身份”就是这样——现在和我说话的人是昨天被介绍给我的人的可能性有多大。

例如，密码是一个共享的秘密，双方都知道并假设拥有该秘密的另一个人就是他们认为的那个人。

那是最容易的。

安全问题（母亲的娘家姓）只是第二个密码，以防您忘记第一个密码。

OpenID 是一种受信任的第三方方法。Stackoverflow 信任谷歌。我尝试登录到 stackoverflow，然后将我传给了谷歌。SO所看到的只是谷歌回来说“是的，他是”。

然而，与电子邮件渗透相比，OpenID 几乎不被使用，因此它不能用作恢复选项。

电子邮件密码重置是涉及受信任第三方的直接共享机密的一个示例 - 双方都“信任”gmail，因此可以向 gmail 发送共享机密，并相信对于给定的可能性级别，只有另一个方将能够访问该共享密钥。

最后，密码学可以用作受信任的第三方。如果我知道您的公钥，我可以“信任” RSA 并通过加密来存储新密码，然后将其放在我的网站上。只有您可以阅读它，因此它可以作为即时的在线密码重置。但是 PGP/GPG 的渗透率比 OpenID 的渗透率差得多，这个想法是行不通的 (*)

您需要的是在签订合同时收集的第二个沟通渠道——通常是电子邮件，可能是 openid、手机号码或他们的 GPG 公钥。但是您必须在签订初始合同时收集该渠道。

说到手机，我确实在我当地的手机店看到了一个整洁的手机——他们给我发了一个随机密码，然后当密码到达我的手机时销售助理输入了密码——证明手机所有者在店里并且合规。（对于给定的可能性水平）。

(*) 实际上我认为有一个解决方案 - http://www.itmanagerscookbook.com/Attitude/identitycrisis.html。如您所知，尝试表达上述概念是一项持续的努力。