Disons qu'un attaquant a votre mot de passe. Vous vous connectez et le réinitialisez. Si la réinitialisation n'invalide pas toutes les sessions existantes, l'attaquant a toujours accès, tant qu'il ne laisse pas sa session expirer.

La réinitialisation n'a en fait rien accompli dans ce scénario.

En fonction de ce que fait le site, il peut également y avoir des problèmes pour vous connecter avec un mot de passe qui est maintenant obsolète. Disons que votre mot de passe est utilisé pour déverrouiller quelque chose, vous êtes connecté avec "password1", mais le serveur a maintenant votre mot de passe enregistré en tant que "password2", que se passe-t-il? C'est évidemment hypothétique, mais j'espère que cela illustre ce point.

Redirection vers l'écran de connexion, je suppose, n'est qu'une recommandation. Je ne sais pas pourquoi il est important de savoir où vous envoyez l'utilisateur, mais du point de vue de la convivialité, il est plus logique d'envoyer l'utilisateur vers une page de connexion plutôt que vers la page d'accueil.

Protéger les sessions sur un compte potentiellement compromis

Il n'est pas nécessaire de rediriger vers la page de connexion si la gestion de session lors du changement de mot de passe est effectuée en toute sécurité. Autrement dit, tant que tous les identifiants de session en cours sont invalidés et que la session en cours est attachée à un nouvel identifiant de session (généralement émis sous forme de jeton dans un cookie d'authentification - le cookie est uniquement envoyé à la session qui vient de changer le mot de passe), alors là il n'y a aucun risque qu'un attaquant qui est déjà dans le compte reste connecté.

Article OWASP

La justification de l'article OWASP est expliquée ci-dessous. Il n'y a rien de mal avec l'aspect sécurité de celui-ci, mais il y a quelques problèmes d'utilisabilité.

La fonctionnalité de réinitialisation du mot de passe est souvent utilisée lorsqu'un utilisateur souhaite sécuriser son compte.

En invalidant tout sessions existantes lors de la réinitialisation du mot de passe, le système s'assure que seule la personne avec le nouveau mot de passe peut se connecter.

Disons, par exemple, qu'un attaquant qui a obtenu l'accès au compte en utilisant l'ancien mot de passe est connecté . La réinitialisation de toutes les sessions déconnectera l'attaquant.

Pourquoi déconnecter l'utilisateur actuel, je vous entends demander?

Eh bien, disons que l'attaquant utilise la session de l'utilisateur actuel, disons en utilisant une vulnérabilité de fixation de session. Cela signifie que l'attaquant a la même session que l'utilisateur réel. La réinitialisation de la session en cours garantira également que personne n'est sur le compte qui n'est pas censé y avoir accès.

La redirection vers la page de connexion dans votre devis ci-dessus décrit vraiment le fait que vous devez déconnecter l'utilisateur des sessions en cours et de toutes les sessions (mais il n'y a aucun risque de vous empêcher de les déposer dans une nouvelle session avec un nouvel identifiant).

Les autres réponses sont probablement plus correctes d'un point de vue netsec, mais je voulais ajouter que vous pouvez également vous assurer que l'utilisateur est réellement capable de se connecter avec son nouveau mot de passe. Cela rend évident si quelque chose ne va pas, comme le navigateur remplissant automatiquement un ancien mot de passe.

Il empêche également les utilisateurs d'utiliser la réinitialisation du mot de passe comme connexion. Sur l'un de mes comptes, il est plus facile de répondre aux questions de sécurité que de me souvenir du mot de passe, car je dois définir un mot de passe unique à chaque fois que je le réinitialise et que je ne m'en souviens plus.

Il n'y a qu'une seule raison possible liée à la sécurité pour vous envoyer à la page de connexion, car toutes les anciennes sessions peuvent être invalidées et votre session active actuelle dont vous avez changé le mot de passe est remplacée automatiquement:
Cela rend l'utilisation de la réinitialisation du mot de passe pour la connexion plus fastidieuse, ce qui vous fait moins souvent l'utiliser, et la protège ainsi contre les écoutes clandestines et la divulgation accidentelle.

Il y a aussi une raison d'utilisation pour vous y envoyer: Cela garantit que vous pouvez réellement utiliser le nouveau mot de passe, et tout cache de mot de passe dans le navigateur est mis à jour.

Si les utilisateurs sont autorisés à laisser le navigateur stocker leurs mots de passe, la redirection de l'utilisateur vers la page de connexion permettra au navigateur de capturer le nouveau mot de passe sur cette page. Sinon, la prochaine fois que l'utilisateur se connectera au navigateur, il pré-remplira "utilement" le champ du mot de passe avec l'ancien mot de passe - une action qui risque de semer la confusion si l'utilisateur ne se rend pas compte de ce qui se passe.

C'est très simple si l'on tient compte des contre-mesures de sécurité. Cela invalidera en fait toutes vos sessions actives, ainsi que l'appareil du voleur, qui a créé le problème.

En plus de fournir un mécanisme simple pour établir une nouvelle session valide, vérifier que le nouveau mot de passe fonctionne et se déconnecter des sessions en cours, il y a aussi l'avantage supplémentaire de demander à votre utilisateur de saisir le mot de passe une troisième fois, ce qui facilite les choses à retenir.

En plus de nombreux autres points soulevés ici, il y a des avantages à limiter le mécanisme de création de session à un seul point d'entrée du point de vue de la maintenabilité / du renforcement / de l'audit.

Un utilisateur réinitialise son mot de passe dans le l'état verrouillé ne doit pas nécessairement être traité comme un utilisateur connecté, même après avoir franchi la preuve de récupération des cerceaux d'identité que vous avez, sinon vous avez une séquence supplémentaire à tester lors de votre audit / test du stylet.

lorsque vous vous connectez à nouveau juste après une réinitialisation du mot de passe

a) vous êtes plus susceptible de vous souvenir du mot de passe 3 secondes plus tard, que 3 jours plus tard.

b) votre navigateur peut alors demander à l'utilisateur s'il souhaite mettre à jour son mot de passe enregistré avec le nouveau, puis le navigateur s'en souviendra sur la page de connexion.