Avrohom Yisroel
2019-06-24 03:31:37 UTC
我正在開發一個人們將擁有帳戶的網站。但是，與大多數網站不同，用戶不註冊，而是由網站管理員邀請。網站管理員將根據他們的電子郵件地址創建一個新的用戶個人資料，然後希望該網站通過電子郵件向他們發送電子郵件，告知他們他們的個人資料已準備就緒。
但是，我不確定讓人們知道其密碼的最安全的方法。在正常註冊中，用戶輸入其選擇的密碼，該密碼被散列並存儲。剩下的就是向他們發送鏈接以驗證其電子郵件地址。
在我們的情況下，他們沒有註冊，因此不要提供密碼。最安全的進行方式是什麼？
此答案建議向他們發送指向可以查看其密碼的頁面的鏈接，但是我不確定這樣做是否有任何好處將他們發送到可以輸入自己密碼的頁面。實際上，我認為後一種建議更好，因為好像已經設置了密碼，網頁可以通知他們已經設置了密碼，如果不是，那麼請立即與管理員聯繫。
從安全角度來看，最好的方法是向新用戶通知其密碼？
順便說一句，通過郵件發送一次性鏈接或一次性初始密碼沒有什麼區別，更容易實現。兩者都將依賴於電子郵件安全性，這是薄弱的，但是是一種常見的信任模型。因此，除非您沒有其他聯繫信息或用戶的加密密鑰，否則就必須使用該信息。確保他們發現一次性物品不起作用時會提醒您（因為有人使用過）
為什麼根本沒有密碼。為什麼不使用通過電子郵件發送的限時一次鏈接使用無密碼登錄。
並非同一件事，但是我們在網站上的工作僅限於邀請和公開之間：用戶使用用戶名，密碼和電子郵件進行註冊，我們手動批准（或刪除）用戶帳戶，用戶收到一封電子郵件以驗證其電子郵件，當他們驗證電子郵件時，可以立即使用設置的密碼訪問其帳戶。
最安全的方法是*個人聯繫*。
@eckes我不同意。是的，電子郵件是最常見的薄弱環節。但是有些人只是將初始密碼粘貼到其硬盤上的某個隨機未加密文件中，因為生成的初始密碼對他們來說比他們想出的任何東西都更安全。
您想要真正的最安全的方法，還是合理實用且方便的最安全的方法？例如，如果您的CTO親自拜訪每位用戶，以面對面的方式告訴他們他們的密碼，那是非常安全的，但是卻不切實際。
@marstato掌握所有這些技巧可能比使用“ password”作為密碼要安全得多，但是我說的是初始密碼，該密碼必須在首次登錄時更改。
@Sentinel不，不是b / s電子郵件非常薄弱，並且有許多替代方法，但是在大多數情況下，電子郵件是唯一可行的信任模型
-1