E-posta HTTPS tarafından güvenli olmadığından şifreleri bir kullanıcıya e-posta yoluyla göndermek ne kadar güvenlidir.
Onu korumanın en iyi yolu nedir? Şifreleme kullanmalı mıyım?
Parolaları hiçbir zaman net olarak açık bir şekilde göndermemeli, ne de açık bir şekilde saklamamalısınız. Onları bcrypt veya PBKDF2 gibi yavaş tek yönlü bir şifreleme karması kullanarak hash etmelisiniz. Bir kullanıcı şifresini unutursa, hesaplarına bir kerelik sıfırlama bağlantısı gönderen bir "şifreyi sıfırla" işlevi sunarsınız.
Aşağıdaki gibi bir şema mantıklıdır:
Güvenli giriş sistemlerinin nasıl oluşturulacağına dair tam bir kılavuz seti için Form Tabanlı Web Sitesi Kimlik Doğrulaması için Kesin Kılavuz ile okumanızı öneririm.
E-posta güvenli değil. E-posta üzerinden şifre göndermek bu nedenle bir güvenlik riskidir. Riski azaltmak için, (bazı durumlarda) e-postayla gönderilen parolanın tek seferlik bir parola olmasını sağlayarak, kullanıcının yalnızca yeni bir parola seçme olasılığını açar.
Bu web sitesi sistemleri için parolamı unuttum budur: kullanıcı "dammit, parolamı unuttum" düğmesini tıklar ve bir URL içeren bir e-posta gönderilir (HTTPS ile ) rastgele bir oturum tanımlayıcı yerleştirir ve kullanıcının yeni bir şifre seçmesine izin veren bir sayfayı gösterir. URL "bir defalık şifre" dir. Bu şema ile, en azından sunucu tarafından URL'nin ne zaman kullanıldığını öğrenebilirsiniz.
Şifrelemeyi düzgün bir şekilde yapabiliyorsanız, örneğin kullanıcının ortak anahtarıyla şifrelenmiş bir OpenPGP veya S/MIME mesajı gönderebiliyorsanız, kullanıcı özel/ortak anahtar çiftine sahiptir: bu durumda neden hiç şifre kullanasınız?
Kullanıcıya parola göndermek kötü bir uygulamadır, çünkü bu, kullanıcı parolasının açık bir kopyasına sahip olduğunuz anlamına gelir.
Bunu yapmak için iyi bir neden düşünemiyorum. İhtiyacınız olanı başarmanın daha güvenli yolları vardır.
E-posta güvenliği ile ilgili genel bir cevap için, içinde iyi bilgiler olan this bağlantısını okumanızı öneririz.
Hassas bilgileri e-posta ile göndermek zorundaysanız, verileri korumak için PGP veya diğer şifreleme teknikleri gibi bir şema kullanın.
İlk etapta gönderilecek 'şifreyi temizle' (kayıt işleminin yanı sıra) varsa, yanlış yapıyorsunuz demektir. Düz metin şifresini asla saklamayın! Son zamanlarda Sony Music ve benzerleri gibi birçok şirket de yakılıyor .. ve size tüketicilerin mutlu olmadığını söylememe izin verin.
Önceki yayınları yankılamak, e-posta kesinlikle güvenli değildir ve hiçbir zaman hassas verileri , özellikle de şifreleri e-postayla göndermemelisiniz. Özellikle şifrelenmediği ve açık metin olarak bulunduğumuz için, herkesin e-postanıza girmesi ve herkese açık ağ üzerinden bunlara erişmesi son derece kolaydır.
Siz veya istemciniz şifrelerinizi hatırlamakta sorun yaşıyorsanız güvenli bir şifre yöneticisi kullanmalısınız. Bu, tamamen şifrelenmiş bir kasada şifrelerinizin bir listesini barındıran bir web sitesidir. İyi olanlar KeePass veya LastPass.
Müşterilere şifrelerini tekrar göndermeye çalışan bir şirketseniz, müşterilerin hesaplarını ilk oluşturduklarında yanıtlayacakları güvenlik sorularınız olmalıdır. Bu şekilde unuturlarsa, bu soruları doğru bir şekilde cevaplamaları ve şifrelerini sıfırlamaları için gönderen bir bağlantıyı tıklayabilirler.
Kendi bilginiz için, bu, şifreleme için dava açan ve belirli şifreleri kullanmaya karşı uyaran bilgilendirici bir blogdur http://www.ziptr.com/blog-last-4-digits-ssn-password = Ziptr.