Il est beaucoup plus simple d'accéder au corpus d'e-mails existant que d'accéder au flux entrant. Par exemple, obtenir quelques minutes d'accès au système d'une personne permet une recherche facile dans son courrier électronique. Donc, pour le cas où un attaquant a accès à l'ancien courrier, mais pas au flux des nouveaux messages entrants:

Vous comptez sur l'utilisateur soit changer son mot de passe après l'avoir reçu (peu probable, étant donné que vous leur avez dit de quoi il s'agit), ou en supprimant (définitivement, pas d'archivage ou de déplacement dans un dossier «corbeille», également peu probable) le message de rappel.

Si cela ne se produit pas, alors si j'obtiens l'accès au compte de messagerie de l'utilisateur quelque temps plus tard, alors un lien de réinitialisation (dans le temps / utilisation limitée, peut-être même limité de sorte que l'attaquant ne puisse pas l'utiliser facilement) ne me servira à rien, mais avoir le ( le mot de passe est certainement toujours valide.

De plus, en m'envoyant le mot de passe en texte brut, vous démontrez que vous l'avez stocké quelque part accessible. Dans la plupart des cas, cela n'est pas nécessaire, car vous n'avez pas besoin de crypter le mot de passe (et sel / poivre), il vous suffit de le hacher. S'il est chiffré, toute personne ayant accès à la base de données et à la clé de déchiffrement (par exemple, probablement la plupart du personnel, ou toute personne qui vole le code avec la base de données) peut obtenir le mot de passe en texte brut. S'il est haché, vous devrez l'obtenir avant le hachage (par exemple pendant une session de connexion).

De plus, bien que les gens ne le devraient pas, il est très courant d'utiliser le même mot de passe (ou mots de passe très similaires) sur plusieurs sites. Cela signifie qu'au lieu de fournir un moyen d'accéder à un seul compte, vous fournissez un moyen d'accéder à plusieurs.

Dans l'autre cas, où l'attaquant a accès à tous les e-mails entrants (potentiellement même la possibilité de supprimer les e-mails entrants avant que l'utilisateur ne les voit), aucun de ces éléments n'est sécurisé. Le compte de messagerie est à haut risque, car si vous disposez de ce type d'accès, vous pouvez probablement accéder à tous les sites sur lesquels l'utilisateur possède un compte et générer une réinitialisation de mot de passe. Pour éviter cela, vous devez utiliser autre chose que (ou aussi bien que) votre compte de messagerie pour y accéder, comme l'authentification à deux facteurs.

Notez que même dans ce dernier cas, un lien de réinitialisation est toujours supérieur: si l'attaquant change le mot de passe de l'utilisateur via un lien de réinitialisation, alors lorsque l'utilisateur essaiera de se connecter, il découvrira que quelque chose ne va pas (trop tard, mais au moins il le sait). Si vous ne faites que fournir le mot de passe, l'utilisateur n'a aucune idée que l'attaquant a obtenu l'accès en silence.

Ok, en ignorant le fait que les mots de passe sont stockés en texte brut, et en plongeant directement dans la question:. Le mot de passe est un identifiant qui a une longue validité, tandis qu'un lien de réinitialisation de mot de passe peut être étendu de différentes manières:

1. Valable uniquement pendant une courte période
2. Valable uniquement à partir d'une certaine adresse IP
   • De préférence, la même IP à partir de laquelle la demande de mot de passe a été envoyée.
3. Uniquement valable dans la session utilisateur
   • Lorsque l'utilisateur entre des détails dans le formulaire Web pour demander un nouveau mot de passe, l'utilisateur reçoit un cookie (démarrage d'une session). La validation de l'URL de réinitialisation du mot de passe dépend de quelque chose dans cette session, donc la fonction de validation échouera si la demande est faite sans le cookie.

Il convient également de noter qu'un ancien mot de passe, qui peut ne plus être valide sur votre site, peut encore être sensible pour le client, car les gens réutilisent les mots de passe dans toutes sortes de services.

De cet aspect, mettre des mots de passe dans les boîtes de courriel des gens pourrait être considéré comme un peu impoli.

Il vaut la peine d'ajouter que si vous envoyez le mot de passe d'un utilisateur en clair, vous pouvez envoyer un mot de passe qu'ils utilisent également sur d'autres sites - même si vous forcez l'utilisateur à changer le mot de passe sur votre site lors de la prochaine connexion, vous avez fait pas de faveurs du tout.

Il est contraire à l'éthique de stocker des mots de passe en texte brut si vous avez le moindre souci pour vos utilisateurs. Vous devriez stocker des hachages salés sécurisés. L'envoi d'un mot de passe en clair peut amener les utilisateurs soucieux de la sécurité à cesser d'utiliser votre service (même si les utilisateurs soucieux de la sécurité ne réutilisent pas les mots de passe; ils n'aiment tout simplement pas prendre en charge des services qui ne sont manifestement pas conscients de la sécurité).

Comment implémenter une réinitialisation de mot de passe; généralement pour un site moyennement sécurisé (par exemple, une carte de crédit), vous exigez qu'ils répondent à certaines questions de sécurité de base (par exemple, le nom de jeune fille de la mère) et vérifient qu'ils ont le contrôle de leur compte de messagerie ou de leur numéro de téléphone, comme une forme d'authentification à deux facteurs. Le lien ne doit être valide que dans une courte période (de quelques heures à quelques jours) et une seule fois (par exemple, comprend un jeton créé au hasard qui expire après la première utilisation et après une période de temps).

Vous notifiez également eux que le mot de passe a été réinitialisé (et même si leur email a été compromis; ils trouveront des preuves d'un attaquant lorsqu'ils ne pourront plus se connecter avec leur ancien mot de passe). L'envoi du mot de passe (sans le changer) signifie que cette attaque peut être effectuée furtivement sans que l'utilisateur ne le sache jamais (si, par exemple, les e-mails ont été supprimés).

Il est préférable d'envoyer un lien de réinitialisation du mot de passe.

Certains sites ont le formulaire de mot de passe oublié réinitialiser immédiatement le mot de passe à une valeur aléatoire, et cela est envoyé par e-mail à l'utilisateur. Cela a une faille de déni de service - quelqu'un qui n'est pas le propriétaire du compte peut provoquer la réinitialisation de son mot de passe. Le lien de réinitialisation du mot de passe évite cela, car le mot de passe n'est réinitialisé qu'une fois qu'un utilisateur clique sur le lien - et il doit avoir accès à l'adresse e-mail pour le faire.

Si vous voulez un peu de sécurité contre un attaquant qui a accès au courrier électronique de l'utilisateur, l'approche habituelle consiste également à poser des questions de sécurité. Ce sont des questions comme "Quel était le prénom de votre animal". Et le moment de poser ces questions est après que l'utilisateur a cliqué sur le lien de réinitialisation du mot de passe dans l'e-mail.

Quelques bons conseils ici: https://www.owasp.org/index.php/Forgot_Password_Cheat_Sheet

Il est préférable d'envoyer un lien de réinitialisation.

En plus des raisons données par @Tony Meyer et @mhswende, la page du lien de réinitialisation peut nécessiter une authentification supplémentaire. De nombreux sites demandent aux utilisateurs de répondre à des «questions de sécurité» exactement dans ce but (l'ancienne norme pré-informatique demande le nom de jeune fille de votre mère). Les sites qui ont votre numéro de téléphone peuvent, sur leur page de réinitialisation de mot de passe, vous demander de saisir un code qu'ils ont envoyé par SMS. Les institutions financières peuvent poser des questions sur d'anciens dossiers financiers (morgtages passés, etc.).

Il n'est pas trivial de proposer un bon mécanisme d'authentification secondaire, mais toute procédure de réinitialisation (ou de récupération) de mot de passe qui ne l'est suffisamment vulnérable pour que je l'appelle négligente.

L'e-mail des mots de passe oubliés signifie que vous stockez le mot de passe dans votre base de données sous forme simple ou avec un cryptage bidirectionnel. Ce n'est pas une pratique de sécurité suggérée.

Vous devez stocker un cryptage unidirectionnel (qui ne peut pas être déchiffré) sous forme de mot de passe à la fin de l'application Web. Ainsi, même si votre application Web ou votre serveur Web est confronté à un niveau de base de données en sécurité, aucun mot de passe utilisateur n'est divulgué en texte brut.

Donc, compte tenu de cette politique, le lien de réinitialisation est l'option appropriée et de gauche de deux approches.