#email #security #authentication #passwords
#Адрес электронной почты #Безопасность #аутентификация #пароли
Вопрос:
В случае использования аутентификации с поддержкой пароля, если пользователь забывает пароль, провайдер всегда доверяет безопасности электронной почты пользователя.
Так к чему вся эта суета? Почему бы не использовать электронную почту для отправки секретных ключей входа зарегистрированным пользователям? Разве не это делают сайты, когда пользователь забывает пароль?
В чем причина того, что для аутентификации все еще используются пароли? Каковы основные проблемы с аутентификацией без пароля, которых не хватает при аутентификации с паролем?
Ответ №1:
Одно из отличий заключается в том, что если вы входите в систему с помощью забытого пароля, вам обычно приходится менять пароль на что-то другое, чтобы его нельзя было не обнаружить — злоумышленник, скорее всего, будет обнаружен. Если это просто ссылка для входа в электронную почту, это не тот случай, злоумышленник может войти в систему, и, скорее всего, никто не заметит. Конечно, могут быть средства управления для смягчения этого, но это быстро становится вопросом пользовательского интерфейса.
Другим аспектом пользовательского интерфейса является необходимость постоянно переходить к вашей электронной почте, если есть только ссылка для входа. Многие люди используют менеджеры паролей, которые действительно упрощают ввод очень безопасных и уникальных паролей. Если это ссылка для входа, вам придется открыть свою электронную почту, нарушая работу приложения. Возможно, это неудобно.
Также ссылка для входа, отправляемая в электронном письме, будет содержать токен в URL. Это будет запоминаться браузером, регистрироваться на промежуточных прокси, регистрироваться в журналах веб-сервера и так далее. Секреты не должны отправляться в URL. Однако, если это одноразовый токен, действительный в течение (очень) ограниченного времени, этот риск значительно снижается.
Учитывая все это, существуют коммерческие приложения, которые выбрали вход без пароля по ссылке, отправленной по электронной почте. При правильной реализации (достаточно надежный одноразовый токен с достаточной энтропией, сгенерированный надлежащим криптогенератором случайных чисел и так далее) Вход без пароля по ссылке, отправленной по электронной почте, может быть достаточно безопасным для многих приложений, и в основном это вопрос пользовательского интерфейса (учитывая соображения безопасности, приведенные выше).