asp.net - 回復パスワードasp.netのパスワードの複雑さを軽減

Question

たとえば、ユーザーが回復を行うと、数字のみのランダムなパスワードが送信されます。複雑な文字ではありません！私の2番目の質問は、回復パスワードが古いユーザーパスワードを電子メールに再度送信できるかどうかです。ありがとうございました

Answer 1

古いパスワードを送信することは本当に悪い習慣であり、システムの重大なセキュリティ上の欠陥です. ユーザーは通常、パスワードを再利用します。誰かがあなたのデータベースにアクセスしたり、ユーザーのパスワード回復ボタンを押したりした場合、あなたのユーザーはトゥーズです。したがって、ソルトを使用してハッシュとして保存する必要があります。ユーザーがパスワードを変更できるようにする方法は、システムの新しいパスワードを入力できる 1 回限り使用可能なリンクを送信することです。

Answer 2

メールで新しいパスワードをユーザーに送信しないように設定することをお勧めします。代わりに、ユーザーが新しいパスワードを設定できる特定の期間有効な、生成された URL へのリンクを送信します。このようにして、パスワードをメールでユーザーに送信する際の多くのセキュリティ問題を回避できます。