nicht angemeldet
Passwort vergessen - dem User ein neues Passwort geben?
0 1 0 0 0 0 0 
Matthias Apsel
0 0 Matthias Apsel
0
0 0 0 0 
Der Martin
0
0
Passwort vergessen - dem User ein neues Passwort geben?
Moin,
Da gibts ein schönes Loginscript. Da kann man sich einloggen. Doof nur wenn man sein Passwort vergessen hat. Macht aber nichts, dafür gibts ja die "Passwort vergessen" Funktion. Da klickt man drauf, ein neues Passwort wird generiert und dann?
Wie bekomme ich das neue Passwort sicher zum User? Man muss dem User irgendetwas mitteilen also muss eine E-Mail verschickt werden.
1. In die E-Mail könnte ich das neue Passwort einfach so reinschreiben. Das halte ich aber für bedenklich, da die E-Mail nicht verschlüsselt wird und das Passwort somit von jedem gelesen werden kann
2. Es wird ein Link in die E-Mail gepackt. Folgt man dem Link kommt man auf eine Seite mit einem mini Formular wo man sein neues Passwort eingeben kann. Ist aber auch nicht sicher, da jeder dem Link folgen könnte.
Gibt's eine Möglichkeit dem User das Passwort auf sicherem Wege zukommen zu lassen?
Gruß
Ec-Karten Nummer auf Rückseite Schreibender
T-Rex
-
Hallo,
Gibt's eine Möglichkeit dem User das Passwort auf sicherem Wege zukommen zu lassen?
a) verwende ein Einmal-Passwort, d.h. nach dem Anmelden muss der Benutzer
zwangsweise sein Passwort ändern.
b) verschlüssele das Passwort mit dem öffentlichen Schlüssel des Empfängers.Freundliche Grüße
Vinzenz
-
Moin Moin!
Wie bekomme ich das neue Passwort sicher zum User?
Gar nicht.
Man muss dem User irgendetwas mitteilen also muss eine E-Mail verschickt werden.
- In die E-Mail könnte ich das neue Passwort einfach so reinschreiben. Das halte ich aber für bedenklich, da die E-Mail nicht verschlüsselt wird und das Passwort somit von jedem gelesen werden kann
Richtig.
- Es wird ein Link in die E-Mail gepackt. Folgt man dem Link kommt man auf eine Seite mit einem mini Formular wo man sein neues Passwort eingeben kann. Ist aber auch nicht sicher, da jeder dem Link folgen könnte.
"Hilfe ich hab mein Passwort vergessen"-Seite linkt auf Neues-Passwort-Seite, dort kannst Du ein neues Passwort in ein Formular hacken. Ergebnis ist eine "Danke"-Seite, parallel dazu wird Dir eine Mail mit einer Aktivierungs-URL (mit einem individuellen, zufälligem Aktivierungs-Code) an Deine im System hinterlegte Adresse geschickt. Das neue Passwort ist nur zwischengespeichert, zusammen mit dem Aktivierungscode, Dein Account hat immer noch das alte Passwort. Besuchst Du die Aktivierungsseite, mußt Du Account-Namen und das neue Passwort eingeben, erst dann wird das neue Passwort in Deinen Account geschrieben und Du bist gleichzeitig eingeloggt. Ein Cron-Job räumt regelmäßig alle veralteten Aktivierungs-Codes (>2 Tage) aus dem System. In der Mail steht dick und fett drin: "NICHT KLICKEN, wenn Du nicht selbst ein neues Passwort angefordert hast".
Alexander
--
Today I will gladly share my knowledge and experience, for there are no sweeter words than "I told you so".-
hmpf das ist eine gute Idee... Ist ja eigentlich wie beim registrieren, da hab ich es ungefähr auch so. Da hätte ich auch selber drauf kommen können...ich Depp.
Trotzdem super danke!
Gruß
Depp vom Dienst
T-Rex
-
Hello,
Da gibts ein schönes Loginscript. Da kann man sich einloggen. Doof nur wenn man sein Passwort vergessen hat. Macht aber nichts, dafür gibts ja die "Passwort vergessen" Funktion. Da klickt man drauf, ein neues Passwort wird generiert und dann?
Wie bekomme ich das neue Passwort sicher zum User? Man muss dem User irgendetwas mitteilen also muss eine E-Mail verschickt werden.
Mach zwei Teile draus.
Im "Neues Passwort anfordern"-Formular muss der User eine PIN (z.B. einen sechsstelligen Code) eingeben, die dann später immer dem neu generierten Passwort anzuhängen (oder vorauszustellen) ist, ganz nach Belieben.
Damit müssten dann sowohl der HTTP-Kanal, als auch der SMTP/IMAP-Kanal abgehört werden. Wer das kann, kann sowieso direkt auf den Server oder auf den Client gucken
Das ist bei Ressourceträgern, die nicht im eigenen Reich stehen, immer so eine Sache. Da könntest Du sogar den Übertragungsweg verschlüsseln und es würde nichts ändern.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
Hi,
Wie bekomme ich das neue Passwort sicher zum User?
das Passwort wird an eine E-Mail-Adresse geschickt. Die E-Mail-Adresse ist im Account hinterlegt. Ein Angreifer muss Zugriff auf das E-Mail-Konto desjenigen haben, der Zugriff auf das Konto bei Dir haben möchte. Per definitionem ist dies entweder der legitimierte User, oder ohnehin die ganze Welt, ohne dass Du etwas dafür oder dagegen machen könntest.
Du schickst einem solchen Angreifer nicht das Passwort zu, dass der User mal eingegeben hatte[1] und vermutlich an zig anderen Stellen verwendet, sondern ein zufällig generiertes. Insofern ist das Verfahren entweder sicher, oder die anderweitig defekte Situation des Nutzers wird durch Dich nicht verschlimmert. Was willst Du mehr?
Man muss dem User irgendetwas mitteilen also muss eine E-Mail verschickt werden.
Wenn der User ein (z.B.) ICQ-Account angegeben hat, könntest Du es auch dort hin schicken. Ich glaube jedoch nicht, dass das die Sache irgendwie verbessert.
Gibt's eine Möglichkeit dem User das Passwort auf sicherem Wege zukommen zu lassen?
Es gibt keine sicheren Wege. Du könntest eine zusätzliche Sicherheitsfrage einbauen, die als leichter merkbares Zusatzpasswort funktioniert. "Wie lautet der Name Deines ersten Haustieres?" - "Mama" - "Richtig, wir senden Ihnen Ihr Einmal-Passwort zu."
Cheatah
[1] Das könntest Du gar nicht. Es steht irreversibel verschlüsselt in der Datenbank.
--
X-Self-Code: sh:( fo:} ch:~ rl:| br:> n4:& ie:% mo:) va:) de:] zu:) fl:{ ss:) ls:~ js:|
X-Self-Code-Url: http://emmanuel.dammerer.at/selfcode.html
X-Will-Answer-Email: No
X-Please-Search-Archive-First: Absolutely Yes-
Du schickst einem solchen Angreifer nicht das Passwort zu, dass der User mal eingegeben hatte[1]
[1] Das könntest Du gar nicht. Es steht irreversibel verschlüsselt in der Datenbank.
Was macht dich dessen so sicher? Dass es so sein _sollte_ ist klar, aber andere "Lösungen" sind auch denkbar...
gruß
Kalk, dessen Passwort immer nur aus Fünfen besteht, deren Reihenfolge aber regelmäßig geändert wird-
Hello,
Kalk, dessen Passwort immer nur aus Fünfen besteht, deren Reihenfolge aber regelmäßig geändert wird
Das ist dann so wie beim Farbfernsehen? Mit roten, grünen und blauen Fünfen?
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
Om nah hoo pez nyeetz, Tom!
Das ist dann so wie beim Farbfernsehen? Mit roten, grünen und blauen Fünfen?
5101, 1015 z.B.
Matthias
--
1/z ist kein Blatt Papier.
-
Kalk, dessen Passwort immer nur aus Fünfen besteht, deren Reihenfolge aber regelmäßig geändert wird
Das ist dann so wie beim Farbfernsehen? Mit roten, grünen und blauen Fünfen?
Ist ja fast wie in der Politik, da gibts auch rote, grüne und blaue Nieten :p
-
Om nah hoo pez nyeetz, Tom!
Das ist dann so wie beim Farbfernsehen? Mit roten, grünen und blauen Fünfen?
fuenf5pjatchcinq5five
Matthias
--
1/z ist kein Blatt Papier.
-
-
Hi,
Was macht dich dessen so sicher?
der Umstand, dass mein Posting in der Zukunftsform nach Umsetzung aller in ihm enthaltenen Informationen formuliert ist.
Dass es so sein _sollte_ ist klar, aber andere "Lösungen" sind auch denkbar...
Wer wichtige Sicherheitskonzepte außen vor lässt, läuft beim Versuch, die Sicherheit zu erhöhen, gegen Wände. Sprich: Wenn meine Tatsachenbehauptung nicht eine (mindestens zukünftige) Tatsache widerspiegelt, kann der OP seine Frage gleich komplett vergessen. Passwörter *werden* irreversibel verschlüsselt gespeichert, oder die Unsicherheit beträgt 100% ohne Chance auf Reduzierung.
Kalk, dessen Passwort immer nur aus Fünfen besteht, deren Reihenfolge aber regelmäßig geändert wird
Mein Passwort lautet "********". Ich verrate aber nicht, ob mit oder ohne Anführungszeichen.
Cheatah
--
X-Self-Code: sh:( fo:} ch:~ rl:| br:> n4:& ie:% mo:) va:) de:] zu:) fl:{ ss:) ls:~ js:|
X-Self-Code-Url: http://emmanuel.dammerer.at/selfcode.html
X-Will-Answer-Email: No
X-Please-Search-Archive-First: Absolutely Yes-
Mein Passwort lautet "********". Ich verrate aber nicht, ob mit oder ohne Anführungszeichen.
Ich kann mit *********** punkten :p
-
-
-
Die E-Mail läuft doch über ein paar Router und könnte dort gespeichert werden? Es ist doch unlängst bekannt das E-Mail mit ein paar Code Wörtern wie "bombe" oder sowas bereits von offiziellen Stellen mitgespeichert werden? Oder guck ich die falschen Filme :D?
Naja wie dem auch sei, wenn ich das Passwort als Klartext in einer E-Mail verschicke und die E-Mail abgefangen wird, dann kann sich dieser jemand doch ebenfalls einloggen. Und genau das soll eben nicht sein.
Die eine Lösung von "Alex" war super. Zwei E-Mail verringern das Risiko. Falls mal eine Mail zufällig in die falschen Hände gerät kann der Angreifer nichts damit anfangen.
Gruß
in der Matrix sitzender
T-Rex-
Moin Moin!
Die eine Lösung von "Alex" war super.
Nur dass ich nicht Alex heiße.
Zwei E-Mail verringern das Risiko. Falls mal eine Mail zufällig in die falschen Hände gerät kann der Angreifer nichts damit anfangen.
Dream on. Wer eine Mail "versehentlich" lesen kann, kann alle Mails "versehentlich" lesen. Denn entweder hat der Angreifer Zugriff auf die Mailbox, oder auf den Computer, mit dem das Opfer arbeitet, oder auf die Datenleitung zum Computer (die mittlerweile oft einfach aus WLAN-gesättigter Luft besteht), oder er kann die Abstrahlungen des Computers bzw. des Monitors auswerten. Dazu reicht schon eine Strom- oder Wasserleitung oder ein nicht verdunkeltes Fenster.
Alexander
--
Today I will gladly share my knowledge and experience, for there are no sweeter words than "I told you so".-
Die eine Lösung von "Alex" war super.
Nur dass ich nicht Alex heiße.
Keep cool Alex :D.
Nagut will dich nicht ärgern Herr Alexander.Dream on. Wer eine Mail "versehentlich" lesen kann, kann alle Mails "versehentlich" lesen. Denn entweder hat der Angreifer Zugriff auf die Mailbox, oder auf den Computer, mit dem das Opfer arbeitet, oder auf die Datenleitung zum Computer (die mittlerweile oft einfach aus WLAN-gesättigter Luft besteht), oder er kann die Abstrahlungen des Computers bzw. des Monitors auswerten. Dazu reicht schon eine Strom- oder Wasserleitung oder ein nicht verdunkeltes Fenster.
Dem zu folge könnte ich dem User das Passwort ja doch in Klartext schicken. Das Passwort wäre dann 24 Stunden gültig. Ändert der User das Passwort ist es wieder dauerhaft gültig.
Ich hab immer gedacht E-Mail werden in Klartext übermittelt und könnten recht leicht abgehört werden...Gruß
Gestern 1 zuviel getrunkener
T-*Hicks*-
Hallo,
Ich hab immer gedacht E-Mail werden in Klartext übermittelt und könnten recht leicht abgehört werden...
ja, das ist auch so - solange man nicht bewusst etwas dagegen tut und seine Mails selbst verschlüsselt. Was natürlich erfordert, dass der Empfänger auch weiß, wie er sie wieder entschlüsseln kann.
Was lässt dich plötzlich an deiner Überzeugung zweifeln?Ciao,
Martin--
Er war ein Mann wie ein Baum. Sie nannten ihn Bonsai.
Selfcode: fo:) ch:{ rl:| br:< n4:( ie:| mo:| va:) de:] zu:) fl:{ ss:) ls:µ js:(-
ja, das ist auch so - solange man nicht bewusst etwas dagegen tut und seine Mails selbst verschlüsselt. Was natürlich erfordert, dass der Empfänger auch weiß, wie er sie wieder entschlüsseln kann.
Was lässt dich plötzlich an deiner Überzeugung zweifeln?Na wenn hier jeder schreit dass man die Mails nur lesen kann wenn man Zugriff auf das Postfach hat, klingt das so als ob man E-Mails eine hoch und heilige Schrift sind, die im Internet niemals mitgelesen werden können. Und ich denke mir, wenn man nur E-Mails mitlesen kann wenn man das Postfach hackt (was hier suggeriert wurde), dann brauch ich mir über eine "sichere" Übertragung keine Gedanken machen.
Gruß
sniffender
T-Rex-
Hallo,
ja, das ist auch so - solange man nicht bewusst etwas dagegen tut und seine Mails selbst verschlüsselt. Was natürlich erfordert, dass der Empfänger auch weiß, wie er sie wieder entschlüsseln kann.
Was lässt dich plötzlich an deiner Überzeugung zweifeln?
Na wenn hier jeder schreit dass man die Mails nur lesen kann wenn man Zugriff auf das Postfach hat, ...oha, das habe ich aber ganz anders verstanden! Nämlich so, dass man eben *nicht* unbedingt Zugang zum Postfach haben muss, sondern auch auf ganz andere Weise an den Inhalt von e-Mails kommen kann, während sie von einem Host zum anderen übertragen werden - meist über mehrere Zwischenstationen.
Einzig der Beitrag von Cheatah lässt eventuell den Eindruck entstehen. Da war er wohl nicht ganz bei der Sache.Ciao,
Martin--
Die späteren Ehen sind oft glücklicher als die erste, weil das natürliche Ende bereits absehbar ist.
(George Bernhard Shaw)
Selfcode: fo:) ch:{ rl:| br:< n4:( ie:| mo:| va:) de:] zu:) fl:{ ss:) ls:µ js:(
-
-
-
Moin Moin!
Dream on. Wer eine Mail "versehentlich" lesen kann, kann alle Mails "versehentlich" lesen. Denn entweder hat der Angreifer Zugriff auf die Mailbox, oder auf den Computer, mit dem das Opfer arbeitet, oder auf die Datenleitung zum Computer (die mittlerweile oft einfach aus WLAN-gesättigter Luft besteht), oder er kann die Abstrahlungen des Computers bzw. des Monitors auswerten. Dazu reicht schon eine Strom- oder Wasserleitung oder ein nicht verdunkeltes Fenster.
Dem zu folge könnte ich dem User das Passwort ja doch in Klartext schicken.
Wenn Du nur mit Usern arbeitest, die unter Vollüberwachung stehen, dann ja.
Ich hab immer gedacht E-Mail werden in Klartext übermittelt und könnten recht leicht abgehört werden...
Wenn Du keine weiteren Maßnahmen triffst, ja.
Für den Zugriff auf Maiboxen kannst Du POP3 und IMAP4 in SSL verpacken, für SMTP hab ich das noch nicht in der Praxis gesehen. Natürlich wird die Mail von Server zu Server immer noch unverschlüsselt transportiert, so dass diese Maßnahme eigentlich nur die Zugangsdaten zum Postfach schützt. Naja, und Möchtegern-Überwacher beißen sich daran vielleicht die Zähne aus. Gegen Abhören der Datenleitungen hilft nur harte Verschlüsselung, z.B. gängige Verfahren wie PGP, GPG. Garantiert sicher sind nur One-Time-Pads, und auch nur, wenn man sie richtig benutzt (nämlich maximal einmal und anschließend gründlich vernichtet).
Gegen die Abstrahlungen des Systems kann man mit sehr viel Metall einen Faradayschen Käfig bauen, die notwendigen Zuleitungen filtert man entsprechend.
Abstrahlungen des Monitors kann man mit darauf optimierten Farb- und Fonteinstellungen deutlich verringern.
Alternativ man überdeckt die Abstrahlungen mit ähnlichen Signalen, oder aber man sorgt dafür, dass die Informationen über einen Kanal ausgegeben werden, der nur geringe Abstrahlungen hat und einem möglichen Abhörer entgeht. Damit der Abhörer nicht mistrauisch wird, sollte man natürlich trotzdem dafür sorgen, dass es Abstrahlungen gibt. Idealerweise sorgt man dafür, dass auf diesem Weg falsche Informationen abgestrahlt werden.
Lesetipp: Cryptonomicon, zum Van-Eck-Phreaking insbesondere Randys Zeit im Knast gegen Ende des Buchs. Leider leidet die deutsche Übersetzung etwas unter mangelndem Verständnis des Übersetzers: Internet-Adressen als "gepunktete Quadrate" dargestellt (dotted quads), whois mit "wer ist" übersetzt, usw.
Alexander
--
Today I will gladly share my knowledge and experience, for there are no sweeter words than "I told you so".
-
-
-
-
-
Variante 2 gibt immerhin insofern Sicherheit, dass der Benutzer über den Link sein Passwort selbst neu eingeben muss. Wenn das ein anderer tut, würde der richtige Benutzer das wenigstens mitkriegen wenn er sich wieder anmelden will.