आधुनिक वेब अनुप्रयोगों में पासवर्ड पुनर्प्राप्ति के लिए प्रभावी तकनीक

Question

हम वेब एप्लिकेशन पर काम कर रहे हैं जहां हमें पासवर्ड पुनर्प्राप्ति की पारंपरिक वेब-ऐप्स कार्यक्षमता को लागू करने की आवश्यकता है। प्रवृत्तियों के अनुसार दृष्टिकोण हैं ..

1. उपयोगकर्ता के ईमेल पर पासवर्ड रीसेट लिंक भेजना।
2. पासवर्ड पुनर्प्राप्ति के लिए उपयोगकर्ता को गुप्त प्रश्न पूछना।
3. मौजूदा पासवर्ड को रीसेट करना और एक नया पासवर्ड बनाना और उसे उपयोगकर्ता को भेजना। यह उपयोगकर्ता को अगले लॉगऑन पर पासवर्ड बदलने के लिए भी मजबूर कर सकता है।

क्या हमारे पास पासवर्ड पुनर्प्राप्ति तंत्र को लागू करने के लिए कोई गैर पारंपरिक तकनीक है? इसके लिए आपने किन अन्य दृष्टिकोणों की कोशिश की है?

धन्यवाद।

Answer 1

यह आपके द्वारा लक्षित सुरक्षा के स्तर, समर्थन लागत और उपयोगिता संबंधी चिंताओं पर निर्भर करता है। - यह एक व्यापार के नजरिए से सबसे बड़ा कारक है

• समर्थन की लागत:

  एक पासवर्ड रीसेट लिंक ईमेल के कई कारण के लिए पसंदीदा तरीका है। उपयोगकर्ता अक्सर अपने पासवर्ड संकेतों को भूल जाते हैं या नकली मेलिंग पता का उपयोग करते हैं या उनके उपयोगकर्ता नाम को भूल जाते हैं। ये सभी वैध चिंताओं हैं जिनके लिए आपको समर्थन अनुरोध मिल सकते हैं। यह बदले में एक और मुद्दा बनाता है, आपको हाल ही की खाता गतिविधि और क्या नहीं, इसके बारे में पूछकर उपयोगकर्ता की वैधता स्थापित करनी होगी। यदि आप उस स्तर के समर्थन प्रदान नहीं करते हैं तो बहुत सारे नौसिखिया उपयोगकर्ता निराश होंगे। पासवर्ड रीसेट लिंक को ईमेल करना इन चिंताओं को कम करता है क्योंकि उपयोगकर्ताओं के पास आम तौर पर एक या दो ईमेल पते होते हैं और वे अपना ईमेल पता प्रदान करके आसानी से अपना उपयोगकर्ता नाम/पासवर्ड पुनर्प्राप्त कर सकते हैं।

• सुरक्षा चिंता - यह एक तकनीकी परिप्रेक्ष्य का सबसे बड़ा कारक है। यहां कई चिंताओं हैं जिनके लिए आपको वजन करना है। एक समझौता किए गए ईमेल खाते का अर्थ हैकर हैकर सभी उपयोगकर्ताओं की सेवाओं तक पहुंचने के लिए जा सकता है जो पासवर्ड रीसेट लिंक को ईमेल करने की अनुमति देता है। आप मध्य ग्राउंड के लिए व्यवस्थित हो सकते हैं जो उपयोगकर्ता को पासवर्ड रीसेट लिंक ईमेल करना है जो बदले में उपयोगकर्ता को एक पासवर्ड संकेत पूछता है जिसके बाद यह उन्हें अपना पासवर्ड रीसेट करने की अनुमति देता है। फिर, आपको किसी भी माध्यम में उपयोगकर्ता के पासवर्ड का पर्दाफाश नहीं करना चाहिए। वास्तव में, यदि आपके पास उन्हें अपना पासवर्ड दिखाने की क्षमता है तो आपका सिस्टम पहले से ही असुरक्षित है क्योंकि इसका तात्पर्य है कि आप SHA-1 जैसे सुरक्षित हैश का उपयोग करके उन्हें संग्रहीत नहीं कर रहे हैं और आपकी कंपनी में एक डेवलपर हर किसी के पासवर्ड पर जा सकता है।

• प्रयोज्यता - यह उपयोगकर्ता परिप्रेक्ष्य का सबसे बड़ा कारक है। पासवर्ड रीसेट लिंक को ईमेल करने के लिए उपयोगकर्ता को जाने और उनके ईमेल पते की जांच करने की आवश्यकता होती है जिसका मतलब है कि कार्य प्राप्त करने का समय 2 या 3 मिनट तक जा सकता है। हालांकि, मुझे लगता है कि यह एक बड़ा सौदा नहीं है।अधिकांश उपयोगकर्ताओं को यह बुरा नहीं लगता है क्योंकि उन्हें लगता है कि वे गलती में हैं और यह उनकी सर्वोत्तम रुचि में एक सुरक्षा उपाय है। मैं केवल व्यक्तिगत अनुभव से परिकल्पना कर रहा हूं और सामान्य रूप से उपयोगकर्ता अलग-अलग महसूस कर सकते हैं। मैं उपयोगकर्ता अनुभव से सुरक्षा को उच्च प्राथमिकता के रूप में रखूंगा क्योंकि उपयोगकर्ताओं को शायद ही कभी अपने पासवर्ड पुनर्प्राप्त करने की आवश्यकता होगी (उपयोगकर्ता ने लंबे समय तक लॉग इन नहीं किया है और अपना पासवर्ड भूल गया है; उपयोगकर्ता ने ब्राउज़र में अपना पासवर्ड सहेजा था जिसे पुनर्स्थापित किया गया था और कुछ अन्य किनारे के मामलों)।

Answer 2

मेरी राय में, उपयोगकर्ता के ईमेल पर एक पासवर्ड रीसेट लिंक भेजना सबसे अच्छा तरीका है। इस तरह डिग ऐसा करता है, और यही वह तरीका है जो मैं करता हूं।

लेकिन इस विधि में हमें उपयोगकर्ता को अपने ईमेल तक पहुंचने में सक्षम होना चाहिए।

गुप्त प्रश्न विधि के बारे में: अक्सर नहीं, गुप्त प्रश्न का उत्तर उतना ही रहस्य नहीं है जितना हम चाहते हैं। यह "खाता-हैक" की इस विधि को अवरुद्ध करने के लिए हमारे उपयोगकर्ताओं के सर्वोत्तम हितों में होगा।

Answer 3

एक वेबसाइट और उसके प्रशासकों को अपने उपयोगकर्ताओं के स्पष्ट-पाठ पासवर्ड को नहीं पता होना चाहिए। प्रमाणीकरण घटनाओं पर तुलना के लिए संग्रहीत पासवर्ड का एक-तरफा हैश होना चाहिए। तो एक पासवर्ड स्पष्ट पाठ भेजना एक विकल्प नहीं होना चाहिए।

व्यक्तिगत रूप से मुझे उपयोगकर्ता को भेजे गए पासवर्ड रीसेट लिंक पसंद हैं। हालांकि उस लिंक को समाप्त करने के लिए याद रखें। साथ ही, पासवर्ड रीसेट प्रयासों के ईमेल के माध्यम से उपयोगकर्ता को सूचित करें (रीसेट लिंक के समान ईमेल हो सकता है), साथ ही सफल रीसेट के बाद भी।

Answer 4

अन्य विकल्प मैं व्यवहार में देखा शामिल होंगे: जब कुछ गलत हो जाता

• एक दूसरे पासवर्ड की इजाजत दी - विशेष-पिन की तरह कुछ सेल फोन के साथ प्रयोग किया जाता है।
• एक फ़ाइल टोकन (आमतौर पर एक पीजीपी कुंजी) बनाना जो उपयोगकर्ता खाता निर्माण पर डाउनलोड करेगा और इसे यूएसबी स्टिक पर संग्रहीत करेगा, या इसे बाद में उपयोग के लिए संग्रहीत करेगा। जब कोई समस्या हो तो उपयोगकर्ता टोकन अपलोड करेगा, इस प्रकार यह साबित कर रहा है कि वह खाता का "मालिक" है, और एप्लिकेशन से उपयोगकर्ता को पासवर्ड बदलने की अनुमति मिल जाएगी। यह एक निरंतर टोकन हो सकता है, या कई टोकन वाली एक फ़ाइल (एक ऑनलाइन बैंकिंग टीएएन के समान) - प्रत्येक बार जब टोकन का उपयोग किया जाता है, तो यह भी अमान्य हो जाता है।

उपरोक्त विधियां लागू करने के लिए आसान नहीं हैं, लेकिन काफी उपयोगकर्ता के अनुकूल हैं (क्योंकि उनके बारे में कुछ भी नया नहीं है और दिन-प्रतिदिन स्थितियों में अन्य मौजूद हैं)।

Answer 5

पासवर्ड रीसेट लिंक के लिए एक अतिरिक्त दृष्टिकोण एक यादृच्छिक कुंजी बनाने के लिए हो सकता है जो ईमेल लिंक में बाहर नहीं जाता है जिसे उपयोगकर्ता को क्लिक करने के बाद उपयोगकर्ता को टाइप करना होगा। यह ईमेल कैप्चर करने वाले लोगों के खिलाफ मदद करेगा।