Lesen Sie, was derzeit die beste Antwort auf eine aktuelle Frage zur Frage ist, ob und wie ich Benutzern ihre Passwörter senden soll Die beliebteste Antwort sagte folgendes ...
(Diese beiden Punkte scheinen widersprüchlich.)
Ich verwende hashed Passwörter für die Sicherheit, aber ich habe immer angenommen, dass das Passwort Frage und Antwort-Schema noch weniger sicher sind, weil sie tatsächlich einen Hinweis geben, was die Antwort sein könnte. (Ich verwende häufig den Standardmitgliedschaftsanbieter von .NET.)
Gibt es etwas, das ich vermisse, weil ich mich nicht darum gekümmert habe, die Frage & amp; Antworten? Sind geheime Fragen und Antworten, ohne eine zeitgesteuerte E-Mail-Reset-Funktion zu integrieren, sicherer als das Speichern eines Passworts in der db?
Folge: Der Microsoft-Mitgliedschaftsanbieter verwendet das gleiche Format zum Speichern von Antworten auf geheime Fragen sie tun für das Passwort. Wenn Sie Hash für das Passwort angeben, speichert es die geheime Antwort auf die gleiche Weise.
Von den Posts unten scheint es, dass ein geheimer Frage / Antwort-Mechanismus, falls er verwendet wird, nur zusätzlich zu einem E-Mail-Reset-Schema verwendet werden sollte und statt dessen wie gehasht werden sollte Gut. Dies kann natürlich Probleme für Leute wie mich darstellen, die lange zufällige Strings in den geheimen Antwortbereich setzen.
Ich lasse mich von OWASP hier leiten:
Sie sind nicht akzeptabel für die folgende Gründe:
Sammlung von Informationen über Personen ohne deren ausdrückliche Zustimmung (wie "Mädchenname der Mutter") ist illegal in den meisten Privatsphäre Regime. Eine solche Sammlung unterliegt den Datenschutzgesetzen, Überprüfung und Korrektur durch das Subjekt, und so weiter.
IT-Sicherheitsrichtlinien und -standards wie ISO 27000 verbieten dies Textspeicherung von Passwörtern, aber fast Alle Q & A-Systeme speichern sowohl die Frage und Antwort im klaren
Die Informationen in den Antworten sind öffentlich für einen guten Teil der Benutzer des Internets und somit ist über öffentliche Quellen gefunden
Passwörter sind Antworten auf eine "geheime" Frage. Diese Frage lautet: "Wie lautet dein Passwort?".
Wie Scunliffe hervorhebt, kann das Hinzufügen eines zusätzlichen Feldes von Benutzereingaben die Sicherheit des Passworts erhöhen oder auch nicht - das hängt von den Praktiken des Benutzers ab.
Das Frage-und-Antwort-Idiom wurde in vielen veröffentlichten "E-Mail-Hacks" ( Beispiel ) ausgenutzt - ich würde es sicherlich tun vermeide es, es zu benutzen.
Geheime Fragen und Antworten sind nur so sicher, wie der Benutzer sie vorgibt. Wenn jemand etwas über dich weiß, kann er eine einfache Frage beantworten und dein Passwort zurücksetzen. Ich vermute, Antworten werden auch gehashed, so dass die Antwort nicht direkt gespeichert wird. Aber noch einmal, es genügt, die Antwort auf die Frage zu wissen.
Ein gehashtes Passwort ist ungefähr so sicher wie die meisten Anwendungen, und das ist in Ordnung, weil es ein Weg ist, und daher wird der Klartext niemals gespeichert oder kann abgerufen werden.
Ich würde behaupten, dass eine geheime Frage / Antwort-Kombination nur eine andere Form von "Passwort" ist. Ich würde dann vorschlagen, dass eine geheime Antwort wahrscheinlich schwächer als ein normales Passwort ist, da es kaum einen Hinweis darauf gibt, dass es sich um etwas anderes als normale Wörter handelt, die anfällig für Wörterbuchangriffe sind. In den meisten Fällen wird der Wörterbuchraum der Antwort durch den Kontext der Frage erheblich verkürzt (die Ausnahme von scunliffe wird jedoch bemerkt).
Ich würde eine geheime Frage verwenden, um festzustellen, ob ich ihnen ein neu erzeugtes Passwort per E-Mail senden soll oder nicht. Niemals zulassen, dass sie ein neues setzen. Am Ende des Tages kommt es jedoch darauf an, es so sicher zu machen, wie es sein muss. Wenn Sie eine Online-Bank oder eine Netzwerk-Website sind, macht das einen großen Unterschied.
Auf einer Seite, auf der ich war (Bank oder Krankenversicherung), musste ich sechs geheime Fragen beantworten. Für ein Zurücksetzen des Passworts würden sie drei zufällig auswählen und verlangen, dass ich sie beantworte.
Außerdem nehme ich an, dass sie nur die Hash-Antworten speichern, nicht die reine Textversion. Wie DDaviesBrackett gesagt hat, ist das Passwort eine geheime Frage.
Ich glaube, dass ein Teil Ihrer Frage übersehen wird. Denn wie du sehe ich, wie wir den gesunden Menschenverstand irgendwie übersehen, dass wenn du dein Passwort nicht im Klartext speichern solltest, du deine Antwort auf ihre "geheime Frage" im Klartext speichern und ihnen dann erlauben kannst, ihr Passwort über ein Passwort zurückzusetzen Link per E-Mail gesendet, als warum auch nur eine geheime Frage und einfach per E-Mail ihnen ihre Reset-Link. Natürlich könnte man auch die Antwort auf die Frage einfach verschlüsseln.
Es scheint, dass viele Leute, mich eingeschlossen, ihre Frage / Antwort in etwas verschlüsselt schreiben, wo die Frage keinen Hinweis gibt, aber ich frage mich immer, wenn ich diese erstelle - "wenn ich mich nicht an das Passwort erinnere Ich werde jedes Mal, wenn ich auf diese Seite komme, verwenden, wie kann ich mich an meine Antwort erinnern, die ich vor zwei Jahren erfunden und nie benutzt habe. "
Meine Meinung: Die ganze Idee der "geheimen Frage" ist nur ein Gefühl falscher Sicherheit, als würde das Hinzufügen der geheimen Frage den Prozess des Hackens in mein Konto aufnehmen So viel härter, dass der eine zusätzliche Schritt den Hacker frustriert und dazu führt, dass er aufgibt.
Es scheint wahrscheinlicher, dass es nur einen Hinweis auf einen Freund oder ein Familienmitglied liefert, den Sie mit mir vermasseln wollen.
Es hängt auch davon ab, wie die geheime Frage / Antwort verwandt ist.
Wenn ich zum Beispiel die Möglichkeit habe, eine Frage zu stellen, stelle ich etwas auf:
%Vor%Das sind keine wirklichen Fragen / Antworten, die ich verwende, aber ich kann Ihnen versichern, dass die Fragen, die ich verwende, keinerlei Anhaltspunkte für die Antwort liefern.
Wenn Sie mit der geheimen Frage in das System gelangen können, dann ist das -System genauso sicher wie die Methode, mit der die geheime Frage gespeichert wird.
Wenn ein Benutzer jedoch dasselbe Passwort auf anderen Systemen verwendet, verhindert zumindest das Hashing des Passworts, dass das Passwort dieses Benutzers auf anderen Systemen wie der Online-Bank nicht angezeigt wird.
Der Kern der Sicherheit der geheimen Frage liegt normalerweise in einem anderen vertrauenswürdigen Kommunikationsmedium. Wenn der Benutzer die "geheime Frage" richtig beantwortet, sollte der Server ein zufälliges Passwort über den vertrauenswürdigen Kanal (z. B. eine E-Mail-Adresse) bereitstellen.
Mit diesem zufälligen Passwort (das genauso sicher ist wie die E-Mail-Adresse des Benutzers) kann er sich anmelden und das Passwort ändern.
Das hängt von den Sicherheitsbedürfnissen ab, die Sie benötigen ... Und sobald sie diesen Teil bereits beantwortet haben.
Das einzige, was ich hinzufügen muss, ist, dass Sie die MD5-Verschlüsselung zum Speichern von Passwörtern und anderen sensiblen Daten verwenden. Seien Sie sich bewusst, dass es derzeit fast unmöglich ist, die mit MD5 verschlüsselte "Phrase" zu entdecken. Sie können viele Artikel darüber finden. Und ist nicht schwer in Ihren Projekten zu implementieren.
Grüße. Fábio Antunes
"Grüße, Professor Falken." oder Warum ist es keine gute Idee, ein Authentifizierungsschema auf nicht geheime, nicht zufällige "ish" -Antworten zu stützen.
Und wenn Sie versuchen, ein wenig schwierig zu sein und zufällige "ish" -Antworten auf die berüchtigten Mädchennamen-Fragen zu wählen und sich daran erinnern können, NACHDEM Sie Ihr Passwort vergessen haben (und wahrscheinlich ein paar Mal geändert haben) seit der Einstellung der "geheimen Frage".
Nein, das ganze Geheimfrage-Schema ist von Anfang an verpfuscht. Zunächst einmal ist die Frage nicht geheim, sondern wird jedem enthüllt, der behauptet, er habe sein Passwort verlegt.