Diskussion: Usern ein vergessenes Passwort zuschicken

[Der Martin]

Hallo,

Dank einer spontanen Assoziation, musste ich über etwas nachdenken. Wie ihr sicher alle wisst, gibt es z.B. diverse Forensoftware, die eine Funktion enthält, mir der ein Benutzer ein neues Passwort anfordern kann, wenn er das alte vergessen hat.

du sagst es: Ein *neues* Passwort, das dann irgendwie automatisch-zufällig generiert wird.

Nun ist dies natürlich umständlich, weil er sich ein neues Passwort merken muss.

Nein. Er kann sofort hergehen und sein Passwort ändern, und dabei wieder eins eintragen, das er sich leicht merken kann. So ist es eigentlich gedacht.

Daher gibt es natürlich auch die Möglichkeit, ihm sein altes Passwort zuzuschicken, was zumindest den Vorteil hat, dass er sein altes Passwort schon kennt und es sich daher auch besser merken kann.

Wäre das wirklich so, bräuchte er sich das alte Passwort nicht zuschicken zu lassen.

Meine Idee wäre gewesen: die Passwörter werden mit einem öffentlichen Schlüssel (also asymmetrisch) verschlüsselt und so gespeichert. Auf einem anderen Server (B) liegt ein einfaches (und damit äußerst sicheres) Programm, in dem der private Schlüssel enthalten ist. Falls nun ein User sein Passwort vergisst, übermittelt der ursprüngliche Server das verschlüsselte Passwort an Server B. Selbiger entschlüsselt das Passwort mit dem privaten Schlüssel und schickt es zurück an Server B, welcher es dann wiederum an den User schickt.
Dies hat den Vorteil, dass man z.B. die Anzahl der zu entschlüsselnden Passwörter kontrollieren kann. Z.B. könnte Server B nur 10 Passwörter pro Tag zulassen und würde dadurch verhindern, dass ein Einbrecher die Passwörter auch gleich entschlüsseln lässt.
Was haltet ihr von dieser ganzen Sache?

Du liebes bisschen, viel zu paranoid!

So long,
 Martin