Должен ли я предоставить потерянные учетные данные пользователям через прямое сообщение в Twitter?

Question

Лучше (удобнее или безопаснее) предоставлять пользователям потерянное имя пользователя или пароль с помощью прямого сообщения в Twitter, а не по электронной почте?

Answer 1

Вы вообще не предоставляете утерянные пароли (в основном потому, что не можете, потому что, если вы все делаете правильно, вы все равно не храните пароли в виде простого текста).

Вы поддерживаете функцию сброса, которая позволяет пользователю, например, с помощью секретного вопроса или просто ссылки активации по электронной почте, изменить свой пароль.

Answer 2

Я действительно не хочу, чтобы сайты выбрасывали мое имя пользователя и пароль через Twitter.

Нет, спасибо!

Answer 3

Это так же безопасно, как отправка по электронной почте. Если вы генерируете новый пароль, а затем отправляете его пользователю через dm, только пользователь может прочитать его. И да, пользователь может получить доступ к твиттеру небезопасным способом через незашифрованное соединение. Но вы не можете быть уверены, что кто-то использует зашифрованное соединение для доступа к своей почте.

На самом деле это может быть более безопасно, потому что вы знаете, что только администраторы твиттера могут перехватить сообщение, а администратор не читает письма от своих пользователей

Answer 4

Начните с прочтения этого поста: Какой метод «забыли мой пароль» лучше всего?
Это поможет вам начать в правильном направлении.

Answer 5

Помимо безопасности, существует также существенный недостаток, заключающийся в том, что вы не можете отправлять информацию о сбросе пароля, напоминания о пароле или что-либо еще вашему пользователю через прямое сообщение, если он не подписан на вас в твиттере. Если ваш сайт сам по себе не является клиентом для Твиттера, то вероятность того, что значительная часть ваших потенциальных пользователей не будет особенно заинтересована в том, чтобы следить за вами, скорее всего, возмущается, если им говорят, что они должны следовать за вами (или, по крайней мере, следовать смените пароль / отмените подписку), если они хотят использовать ваш сайт.

Обновление: Я забыл упомянуть ... Если вы хотите связать свою функцию аутентификации пользователя с Twitter, то почему бы просто не использовать Twitter OAuth вместо того, чтобы вообще поддерживать свое собственное хранилище паролей? Он работает довольно хорошо (за исключением кита-неудачника), очень быстр и прост для пользователей и не предъявляет никаких требований к тому, за кем он следует или не следует.

Answer 6

Достаточно людей отметили, что вы все равно не должны хранить пароли в виде простого текста, поэтому я не буду повторять это.

Но если вы отправляете одноразовый сброс пароляссылка в качестве Twitter DM, то вы должны принять во внимание, что пользователь может получить это сообщение на свой мобильный телефон.

Затем вам нужно убедиться, что все, на что указывает эта ссылка, настроено для корректного отображения в веб-браузерах мобильных телефонов.

Тогда вы захотите, чтобы вы просто застряли с электронной почтой.

Answer 7

Я хочу, чтобы мой пароль отправлялся UPS, FedEx или USPS, когда я их забыл.

Наказать пользователя.

Плохой пользователь.

Answer 8

Вместо точной отправки паролей через любой небезопасный канал, вместо этого отправьте nonce . Например: одноразовый URL-адрес, по которому пользователь щелкает, проверяет личную информацию и затем вынужден выбирать новый пароль.

Таким образом, если сообщение будет перехвачено, никакой ущерб не может быть нанесен без взлома личных вопросов.

Answer 9

Защитите свои пароли и ничего не отправляйте по электронной почте или в твиттере. Найти MD5 и другой алгоритм для этого.

Википедия говорит:

В криптографии, MD5 (Message-Digest Алгоритм 5) широко используется криптографическая хеш-функция с 128-битное значение хеша. Как интернет стандарт (RFC 1321), MD5 был занятый в широком спектре безопасности приложения, а также обычно используется для проверки целостности файлов.

Я ненавижу, когда вижу сайт, хранящий мой пароль без шифрования ... и если сайт начал присылать мне мой пароль через твиттер, я что-то сломаю.