security - ユーザビリティの観点からパスワード回復を実装する最良の方法は何ですか?

Question

SO で他のパスワード回復に関する質問を読みましたが、ほとんどの人は、1 回だけ使用でき、数日後に有効期限が切れるパスワード回復リンクを送信することを最も安全だと考えているようです。

さて、私の質問です（主観的なものであることは承知していますが、ユーザーから受け取った可能性のある入力を探しています）

これもユーザーにとってかなり快適ですか？ユーザーとは、同僚ではなく祖母を意味します。

Answer 1

ユーザーとして、自分で新しいパスワードを選択し、新しいパスワードを有効にするためのクリック可能なリンクを提供するアクティベーション メールが送られてくるのが好きです。

新しいワンタイム パスワードが送られてきて、ログインしてプロファイルで編集しなければならないのが好きではありません。

何よりも、OpenID ログインを使用できるので、パスワードをまったく保持する必要がありません。

Answer 2

アクティベーションリンクをクリックして新しいパスワードを入力するよりも簡単なことは何ですか?

Answer 3

アクセス制御、使いやすさ、またはセキュリティに関して、あなたのサイトの焦点は何ですか?

使いやすさを考えると、おそらくパスワードをプレーン テキストで保存し、要求に応じて登録済みの電子メール アドレスに送信できるようにするだけで十分であり、より安全な方法よりも使いやすい可能性があります。

セキュリティが答えである場合は、trapdoor エンコーディングとパスワードのリセットがより適切なオプションです。

Answer 4

経験に基づいて、次のことをお勧めします。

1. ユーザーは、電子メールを送信する「パスワードを忘れた」フォームに入力します。
2. 電子メールには、(少なくとも) パスワード リセット リンクが含まれています。
3. リンクをクリックすると、ランダムに生成された新しいパスワードが送信されます。(わかりやすくするために、大文字と小文字のアルファベットと数字のマイナス 0、o、1、i などを混在させます。)

これは純粋なユーザビリティの観点からは理想的ではないかもしれませんが (理想的な世界では、そもそもパスワードを設定する必要はありません)、正当なパスワードを使用していることを確認しようとします。リセットします。

別の方法として (または実際に上記と組み合わせて)、最初の送信メールにも含まれる単純なパスワード リマインダー テキスト文字列をユーザーが保存できるようにすることができます。(この段階でパスワードがわかれば、パスワードをリセットする必要はなく、入力するだけで済みます。) ただし、これを Web サイト自体に出力することはお勧めしません。

Answer 5

使い勝手の観点から？ログインに 3 回連続して失敗した場合は、正当な理由でパスワードを忘れたと見なし、とにかくログインさせて、パスワードの変更を求めます。

セキュリティの低いアカウントで私が見た中で最も優れたシステムの 1 つは、リンクをメールで送信することです。ユーザーがサイトの URL、ユーザー名、またはパスワードを覚えておく必要はありません。サイトは、ユーザーがパスワードを管理する上で持っている弱点について知ることはありません。