Una forma segura de informar al usuario de su nueva contraseña

2

Tenemos un sistema IBM z / OS del que formo parte del equipo de administración en el que a menudo tenemos que restablecer las contraseñas de los usuarios. (olvidado, demasiadas violaciones, etc.).

Hacemos esto eligiendo una nueva contraseña y asignándola a su ID. Luego enviamos un correo electrónico al usuario con su nueva contraseña.

Sé que esto es malo, pero no estoy seguro de cómo podemos mejorar el proceso.

Mi idea actual es proporcionar un sitio web que pueda producir un par de claves RSA públicas y privadas, hacer que nos envíen la clave pública que luego usamos para cifrar su nueva identificación y que luego pueden descifrar con la clave privada relevante.

¿Cuál es el proceso recomendado para los sistemas en los que los restablecimientos de contraseñas son un proceso manual y la nueva contraseña debe devolverse al usuario?

Editar:

El sistema operativo es z / OS, el sistema de seguridad es ACF2 y el cambio de una contraseña se realiza a través de una interfaz de tipo CLI, donde un usuario autorizado simplemente ejecuta un comando de 'cambio' con el ID de usuario y la nueva contraseña en texto simple.

el correo electrónico que informa al usuario de su nueva contraseña se realiza por correo interno, pero a menudo se enviará internacionalmente. El usuario tendrá que cambiar su contraseña en el primer uso.

    
pregunta Steve Ives 21.02.2017 - 15:54
fuente

2 respuestas

2

Basado en la discusión en los comentarios, sugeriría un

enlace de una sola vez , que enlaza con la página web que muestra la nueva contraseña para el usuario.

Algunos aspectos positivos de esto:

  • La transmisión de la contraseña real ocurre (/ debería ocurrir) en HTTPS .
  • La contraseña solo se expone en el caché de los navegadores y en el lado del servidor. (Esto significa que las futuras interrupciones en el dispositivo de un cliente no perderán la contraseña)
  • Puede usar otros métodos de autenticación en la página web, lo que garantizará que la nueva contraseña se mantenga en secreto.
respondido por el FMaz 21.02.2017 - 16:14
fuente
-1

Recientemente estuve trabajando en una empresa en la que tuvimos un problema similar. Todavía enviamos por correo electrónico las contraseñas a los usuarios, con las advertencias de que siempre:

  • Requiere que se cambie la contraseña en el primer inicio de sesión. Esto evita que un posterior snooper pueda usar las contraseñas que encontraron en el correo electrónico.
  • Restablecer contraseñas solo a pedido. Esto, combinado con hacer un seguimiento de ellas a través del chat interno, ayudó a asegurar que se registraran rápidamente, reduciendo el tiempo en que la contraseña enviada era válida.

Este no es un sistema ideal de ninguna manera, pero reduce algunos de los factores de riesgo más importantes con muy poco trabajo tecnológico.

    
respondido por el Xiong Chiamiov 21.02.2017 - 17:50
fuente

Lea otras preguntas en las etiquetas