Les e-mails sont enregistrés quelque part, que ce soit sur un serveur de messagerie ou sur l'ordinateur personnel de quelqu'un. Les appels téléphoniques ne le sont généralement pas, sauf s'il s'agit d'un environnement orienté client.

Cette politique est courante lorsque les noms d'utilisateur et les mots de passe sont envoyés via des canaux distincts.

Les canaux n'ont pas d'importance, du moment que les paires d'authentification sont séparées et envoyées via différentes méthodes.

C'est la meilleure pratique acceptée car intercepter les deux bons canaux est beaucoup plus difficile que de regarder un canal pour que la paire d'authentification passe simplement.

Le raisonnement derrière cela est que les changements de mot de passe ne sont pas simplement lorsque vous oubliez un mot de passe, mais que vous soupçonnez qu'un compte a été compromis. Pour cette raison, les changements de mot de passe sont effectués "hors bande" pour garantir que les mises à jour de mot de passe ne sont pas facilement capturées.

Dans le monde de la sécurité informatique, il ne s'agit parfois pas d'être parfaitement sécurisé. Il est acceptable d'être juste assez dur pour que les attaquants aillent essayer ailleurs.

Les e-mails peuvent (bien que comme le souligne @Luc, pas toujours) être envoyés en texte clair sur Internet. Cela signifie qu'ils peuvent être enregistrés par votre fournisseur de messagerie, votre FAI, le fournisseur de services Internet de votre destinataire, le fournisseur de messagerie de votre destinataire ou tout autre équipement réseau intermédiaire. En tant qu'expéditeur, vous n'avez pas non plus de contrôle sur qui regarde par-dessus l'épaule de la personne lorsqu'elle ouvre l'e-mail.

Avec un appel téléphonique, vous avez plus de contrôle sur la vérification que vous parlez au bon personne, ils peuvent refuser de répondre s'ils se trouvent dans un lieu public, etc. De plus, bien qu'il n'y ait aucune garantie que cela ne soit pas enregistré, au moins il y a de bonnes chances - contrairement aux e-mails qui ont 100% de chances d'être dans certains base de données quelque part.

Même si la conversation par e-mail et par téléphone sont enregistrées, il est beaucoup plus facile de rechercher un mot de passe dans une base de données de messagerie que de rechercher des enregistrements vocaux.

Cependant, les meilleures pratiques indiquent que une et une seule personne doit connaître le mot de passe d'un compte, et c'est la personne qui possède le compte. L'administrateur ne doit pas le savoir, pas plus que le serveur (c'est-à-dire le mot de passe haché).

La façon habituelle de le faire serait: si le mot de passe a récemment (pour une valeur donnée de récemment) expiré, l'utilisateur peuvent utiliser leur ancien mot de passe, mais immédiatement après s'être authentifiés (avant de se connecter), ils sont contraints de changer leur mot de passe, puis immédiatement déconnectés. Si le mot de passe a expiré il y a quelque temps, l'administrateur peut marquer le mot de passe expiré comme "récemment expiré" pendant une courte période (par exemple, 10 minutes). L'administrateur n'a pas besoin de savoir quel est ce mot de passe. Si l'utilisateur a oublié son mot de passe, l'administrateur peut émettre un mot de passe de courte durée (par exemple 10 minutes) qui force également le changement immédiat de mot de passe.

Aussi, si un utilisateur a changé son propre mot de passe au cours de la dernière année , ils devraient être exemptés du changement (jusqu'à exactement 1 an après leur dernier changement).

La théorie selon laquelle un mot de passe devrait être changé une fois par an est également extrêmement douteuse, dans la plupart des cas - si un mot de passe est compromis, il est généralement exploité au maximum immédiatement. Ne donner à un attaquant «que» 6 mois d'accès (en moyenne) semble assez inutile (ou «seulement» 6 jours d'ailleurs). Cela suggère une authentification à 2 facteurs, le deuxième facteur étant unique à chaque fois (Google Authenticator, OTP, OPIE, défi-réponse, etc.), si la ressource mérite d'être protégée.

Un administrateur ne doit pas connaître le mot de passe d'un utilisateur, si cela peut être évité. Si nécessaire, ils devraient avoir la possibilité de devenir un autre utilisateur avec leur PROPRE mot de passe, qui est ensuite écrit dans un journal d'audit. Ceci est particulièrement important s'il existe plusieurs niveaux d '"administrateur" (c'est-à-dire s'il y a des personnes qui peuvent changer les mots de passe, mais sans affecter le journal d'audit).

Obscurcissements mineurs (tels que la sécurité par l'audio, l'image, etc. ), sont dangereux, car ils favorisent la complaisance sans sécurité.

Dans un système sécurisé, les mots de passe fournis par le service informatique ne doivent être que temporaires, à usage unique, des chaînes aléatoires, de sorte que l'utilisateur doit immédiatement le saisir et le remplacer par son nouveau mot de passe secret. Le service informatique ne doit jamais connaître ni transmettre le mot de passe «réel» d'un utilisateur.

Les utilisateurs doivent être contrôlés avant la réinitialisation et c'est beaucoup plus facile à faire par appel vocal, poser une question, obtenir une réponse, c'est fait.

Même si le temp. mot de passe est entendu lors d'un appel, il n'y aurait pas de temps pour l'utiliser. Les e-mails, cependant, sont parfois négligés pendant un certain temps avant d'être lus, ce qui donne à un attaquant la possibilité de faire de son mieux.

De plus, un appel vocal enregistré peut être utilisé pour identifier si un utilisateur a été usurpé ultérieurement, alors que vous ne pouvez pas dire qui a regardé un écran de messagerie ouvert ou un serveur de messagerie distant.

Mes 10 ans d'expérience dans un environnement d'institution financière, ce niveau de sécurité peut ne pas être économiquement justifié si les besoins de sécurité sont moins stricts. Payer pour les services informatiques coûte cher et la plupart des systèmes / applications utilisent de toute façon la sécurité basée sur le Web, de sorte que les jours de réinitialisation vocale des mots de passe informatiques sont comptés dans tous les cas.

La sécurité d'un e-mail est difficile à établir. L'e-mail est très probablement conservé dans des archives (il existe même des réglementations pour certaines entreprises). Donc, envoyer un mot de passe dans un e-mail est une mauvaise idée de ce point de vue. Une interception d'e-mails peut également se produire.

Par contre, le téléphone est moins susceptible d'être enregistré, mais une interception ou un enregistrement téléphonique peut exister. Ce n'est donc pas une si bonne idée. J'ai lu un commentaire selon lequel les lignes fixes sont plus difficiles à exploiter que les systèmes informatiques - je ne suis pas d'accord. Enregistrer une ligne téléphonique traditionnelle est beaucoup plus simple que de pirater un serveur distant. Les téléphones VOIP nécessitent une nouvelle technique mais pas si difficile non plus - branchez un hub, connectez votre PC à un port du hub, et vous avez maintenant une copie de tous les paquets, et les logiciels de décodage VOIP abondent. Il est probablement plus difficile d'intercepter un signal de téléphone portable, mais je ne sais pas, je ne l'ai pas fait.

L'un des avantages (peut-être perçu) de l'utilisation du téléphone par e-mail est l'assurance que vous donnez le mot de passe de la personne à qui vous souhaitez donner le mot de passe. Étant moi-même administrateur système, qui doit réinitialiser les mots de passe, je peux en attester. Si vous envoyez un e-mail, vous ne savez pas vraiment qui est à l'autre bout du fil. Il peut s'agir d'un e-mail usurpé, d'un compte piraté, etc. Si vous connaissez la personne, vous pouvez reconnaître sa voix. Vous pouvez poser des questions pour vérifier l'authenticité (vous pouvez également le faire par e-mail, mais il y a un sentiment de sécurité lorsque vous le faites par téléphone).

Maintenant, avoir un administrateur défini un mot de passe et qui reste le mot de passe et ne pas laisser l'utilisateur définir son propre mot de passe est une très mauvaise pratique à mon avis en raison de ces facteurs, le mot de passe doit maintenant être transmis et tout ce qui est transmis sera le mot de passe pour toujours.

Y a-t-il plus à la politique? Dans de nombreuses organisations, ils donneront un nouveau mot de passe au téléphone, mais ils doivent connaître la voix des personnes et répondre à une question (qui est votre patron, à quand remonte votre dernier examen).

C'est un peu similaire à un processus d'authentification multifacteur.

La logique que j'utilise lorsque j'insiste pour utiliser le téléphone ou le texte pour envoyer le mot de passe est le fait qu'il s'agit d'un deuxième canal.

Même avec toutes les insécurités détaillées ci-dessus concernant l'e-mail, si l'e-mail a été envoyé avec seulement le mot de passe, il n'y a pas assez d'informations pour une utilisation malveillante. Cependant, si vous interceptez un e-mail qui a une signification similaire à "Votre mot de passe pour le compte xxx sur le service yyy a été changé en zzz", vous avez tout ce dont vous avez besoin pour accéder au compte.

Pour le moment, il est beaucoup plus facile d'intercepter un e-mail. Cela peut changer à l'avenir, mais pour le moment:

• Les e-mails sont conçus pour être stockés pendant des périodes de temps arbitrairement longues. Vous pouvez vous attendre à ce qu'au moins un, sinon plusieurs serveurs aient sauvegardé toutes les données.
• Les e-mails sont plus faciles à traiter. Identifier les e-mails contenant des mots de passe est relativement simple. Les identifier lors d'appels téléphoniques est plus difficile. Si un adversaire écoute, il sera évidemment trivial de capturer le mot de passe. Cependant, l'écoute nécessite plus de ressources.
  • À un moment donné, l'IA va rendre cela beaucoup plus facile. Mais cela ne semble pas être le cas pour le moment.

Cela dépend vraiment de votre modèle de menace. Quelle est la valeur de ce mot de passe? Je suppose que les informations d'identification bancaires d'un milliardaire seraient mieux protégées que cela, ou des informations classifiées, mais plus les informations sont petites, plus les ressources investies pour obtenir les informations commencent à avoir de l'importance.

Le principal hic lors d'un appel téléphonique est que les appels téléphoniques sont toujours sujets aux attaques d'ingénierie sociale, où un appelant peut cajoler une personne de confiance pour lui donner accès

Au téléphone, j'ai sélectionné un menu automatisé pour «obtenir de l'aide pour me connecter à mon compte». La représentante du service client, Christine, était très sympathique et m'a demandé mon adresse e-mail et mon adresse personnelle afin de travailler avec moi pour accéder à mon compte.

Je pense que nous avons trouvé notre problème… Christine n'en avait besoin que deux informations pour me connecter à mon compte? Pas de mot de passe? Pas de téléphone portable? Aucune autre information? Qu'est-ce qui empêche quelqu'un de trouver mon adresse e-mail et mon adresse personnelle dans une base de données et d'appeler pour reprendre mon compte?

Personne ne peut donc renifler votre e-mail (potentiellement non chiffré), mais tout ce dont j'ai besoin est leur numéro de téléphone et un peu d'informations sur vous et je pourrais faire ça

Bonjour, c'est Chris Cirefice. J'ai de nouveau perdu ma connexion VPN. Je pourrais jurer que je l'ai écrit, pouvez-vous m'en donner un nouveau? Wow, ce serait super, laissez-moi prendre un stylo et du papier ...

Il y a plusieurs bonnes réponses sur les raisons pour lesquelles envoyer Password = -value- dans un e-mail est mauvais.

MAIS

Personne ne mentionne que si le mot de passe est assez simple pour facilement être communiqué par la voix, il n’est probablement pas assez complexe pour être efficace et le destinataire va probablement écrire sur un morceau de papier ...

Associé XKCD # 936: Mot de passe court et complexe longue phrase de passe du dictionnaire?

Les e-mails ne sont généralement pas enregistrés, mais les signaux sans fil peuvent être piratés, ainsi que l'écoute électronique des lignes fixes. le meilleur moyen d'y parvenir est d'utiliser un site Web https.