パスワードリマインダが駄目な理由

昨日、某著名サイトのパスワードリマインダの方式が変更になっていることに気がつきました。 旧: 現在のパスワードをメールで送信する（パスワードリマインダ） 新: パスワード再設定の画面のURLをメールで送信する（パスワードリセット） 新しい方式（パスワードリセット）の方が優れていますが、それでは何故パスワードリマインダは駄目で、パスワードリセットの方がよいのでしょうか。このエントリではその理由について説明します。 パスワードリマインダのリスク 良く指摘されるように、パスワードリマインダの場合、２つの問題があります。 現在のパスワードをメール送信できるということは、パスワードをハッシュ値で保存していない証拠である メールは平文通信なので、パスワードを書いたメールが盗聴されると被害が甚大になる これらのうち、パスワードの保存方法については別稿にゆずるとして、このエントリでは盗聴のリスクについて検

[y-kawaz]

ここ数日のパスワード関連エントリが地味にいい感じ。／この勢いで「秘密の質問」の駄目さとか解説してくれると嬉しいな。あれってバックドアを増やすだけの愚策だと思うのよね。肝心の本人は何入れたか忘れるし…。

[kijtra]

クライアントによっては「パスワードは複合できません」というのが通用しない。「管理者だけは見られるようにしてほしい」というのが何度かあった。

[masabossa]

パスワードリセット方式で「最悪第三者にパスワードが知られる」とあるが誤説明では？あと、パスワード使い回しが一般な昨今、パスワードが第三者に知られると他サイトにログインされてしまう危険もある。

[pinekta]

“パスワードリセットのパスワード再設定画面には、有効期間（１時間～1日程度）を設ける場合が一般的です。この機能が役立つ局面はあまり思いつきませんが”

[WK6]

数年前の就活サイトなんかだと平文でパスワード送られてくる事が多かったな。いまはどうか知らないけど。

[chezou]

これ、見つけてしまった場合は先方に連絡するのがいいんすかねー

[ftnk]

security, passwd

[beintro335]

パスワードリマインダが駄目な理由

[rryu]

パスワードリセットでメールに記載されたパラメータ付きのURLをクリックさせるのはフィッシングメールと同じなので避けたいという意見があって、奥が深いなあと思ったことがあった。

[NOV1975]

そういえば日経なんちゃらも昔はリマインダだったなあ。

[naga_sawa]

パスワードリセットの場合、最悪でも不正に気づくことができる分優位である。と

[USAGI-WRP]

全インターネット利用者が知るべき知識。ついで言うとメールクライアントはデファクトスタンダード的であれOpenPGP,S/MIMEに今すぐ対応すべきでは。

[matsumoto_r]

某MLが月初に時報をパスワード付で送ってきてくれます。

[XIAORING]

password

[pmint]

再設定できる回数1回限りというのは再設定画面を2つ作れない（有効な再設定用キーは最新の1回分だけ）ということなのかな。メールを信頼するのなら毎回リセット→メールのURLをワンタイムパスワード代わりにする手も

[wasai]

なるほど、わかりやすい

[NetPenguin]

パスワードリセットでは、リセットされた事をメールで通知する、と。じゃないと、第三者にやられた時に気づけない。

[n2s]

パスワードリセットの方が良い理由

[bouzuya]

ハッシュ化は無理でも暗号化はしてるかもね。盗聴されてりゃ意味ないけど。

[ikd9684]

分かりやすい。ありがたい。

[t-wada]

『SQL アンチパターン』に「リーダブルパスワード（読み取り可能パスワード）」という章があるみたいですよ! #ステマ #sqlap

[owi]

タイムリーに生パスワード保存でやらかし例が http://internet.watch.impress.co.jp/docs/news/20130510_598853.html

[namikawamisaki]

サービスの重要度によってリマインダとリセット形式を使い分けてくれたらいいかなーとか。某公開MLのパスワードは平文リマインダです。

[iku-sawa11]

パスワードでハッシュ保存するのは当たり前らしい

[raimon49]

明快

[sunin]

分かりやすい解説。

[skymkt]

数年前、平文でパスワードが送信されてきたから、運営に問い合わせかけたら、返事が来なかったので、そのサービスの利用を停止したのを思い出した。パスワードをメールで送るとかありえないわ( ；´Д｀)

[stealthinu]

パスワードはリマインドではなく再設定にし、再設定出来るのは一度だけ、再設定したよという報告メールを入れる、と。

[pullphone]

『パスワードをメール送信できるということは、パスワードをハッシュ値で保存していない』　ということでパスワードリマインドできるサイトはなんとなく気持ち悪いんだよなあ

[shioki]

"パスワードリセットにメールを使う場合、メールが盗聴される前提だとパスワードリセット機能の悪用を完全に防止することは難しい"

[szks]

10年前にどっかでパスワードリマインダって危ないよねって話をしたら全く賛同が得られなかった。DBからパスワードが漏れるとかメールが盗聴されるとかって心配したらサービスなんかできない、というのが理由

[oppara]

パスワードリマインダが駄目な理由 | 徳丸浩の日記