Dos tokens de restablecimiento de contraseña utilizados para el mismo flujo de restablecimiento de contraseña

0

Tengo una pregunta sobre un flujo de contraseña olvidada. Básicamente, estoy enviando el token de restablecimiento de la contraseña fuera de banda al usuario, y luego el usuario lo envía de vuelta con la primera solicitud a través de la cadena de consulta, lo valido y verifico su vencimiento y luego lo elimino, lo genero y almaceno hash) una nueva que devuelvo al usuario con la nueva IU contraseña / confirmar contraseña, donde ingresará la nueva contraseña. (por supuesto, también elimino el segundo token después de cambiar la contraseña)

Y tengo curiosidad por ver si es demasiado excesivo generar un nuevo token para enviarlo de vuelta con la interfaz de usuario. O debería simplemente devolver el anterior de nuevo, y luego verificar nuevamente cuando se devuelve con la nueva contraseña.

Gracias, y que tengas una buena.

    
pregunta danutz_plusplus 17.11.2015 - 15:57
fuente

1 respuesta

2

No veo ningún beneficio de usar la segunda ficha temporal. Supongo que estás haciendo esto en caso de que el primer token se detecte durante el tránsito, pero si lo está, entonces la segunda clave también podría ser detectada. Además, este proceso debería estar ocurriendo dentro de SSL, por lo que la probabilidad de ser rastreado es extremadamente baja para empezar.

Normalmente, el enlace débil en el proceso de restablecimiento de la contraseña es la recepción de un correo electrónico, pero si la cuenta de correo electrónico del usuario se ve comprometida, el proceso completo se descompone de todos modos.

    
respondido por el TTT 17.11.2015 - 17:45
fuente

Lea otras preguntas en las etiquetas