Comment mettre en Œuvre des Réinitialisations de Mot de passe?

Beaucoup de bonnes réponses ici, je ne vais pas la peine de répéter tout...

Sauf pour une question, qui est repris par la quasi-totalité de réponse ici, même si c'est mal:

Guid (réaliste) unique et statistiquement impossible à deviner.

Ce n'est pas vrai, les Guid sont très faibles identifiants, et devrait PAS être utilisé pour permettre l'accès à un compte utilisateur.

Si vous examinez la structure, vous obtenez un total de 128 bits au plus... ce qui n'est pas considéré comme un beaucoup de nos jours.

Dont la première moitié est typique de l'invariant (pour le système de production), et la moitié de ce qui est à gauche est dépendant du temps (ou quelque chose de similaire).

Dans l'ensemble, son très faible et facilement bruteforced mécanisme.

Afin de ne pas les utiliser!

Au lieu de cela, il suffit d'utiliser un cryptage fort générateur de nombre aléatoire (System.Security.Cryptography.RNGCryptoServiceProvider), et obtenir au moins 256 bits raw entropie.

Tout le reste, comme de nombreux autres réponses fournies.

Tout d'abord, nous avons besoin de savoir ce que vous savez déjà au sujet de l'utilisateur. De toute évidence, vous avez un nom d'utilisateur et un ancien mot de passe. Que savez-vous d'autre? Avez-vous une adresse e-mail? Avez-vous des données concernant l'utilisateur, la fleur préférée?

En supposant que vous avez un nom d'utilisateur, mot de passe et adresse e-mail valide, vous devez ajouter deux champs de votre table utilisateur (en supposant que c'est une table de base de données): un jour appelé new_passwd_expire et une chaîne new_passwd_id.

En supposant que vous avez l'adresse email de l'utilisateur, quand quelqu'un demande de réinitialisation de mot de passe, vous de modifier le tableau comme suit:

new_passwd_expire = now() + some number of days
new_passwd_id = some random string of characters (see below)

Ensuite, vous envoyez un e-mail de l'utilisateur à cette adresse:

Cher untel

Que quelqu'un a demandé un nouveau mot de passe pour le compte utilisateur <username> à <nom de votre site web>. Si vous n'avez demande ce réinitialisation de mot de passe, suivez ce lien:

http://example.com/yourscript.lang?update=<new_password_id>

Si ce lien ne fonctionne pas, vous pouvez aller à http://example.com/yourscript.lang et entrez les informations suivantes dans le formulaire: <new_password_id>

Si vous n'avez pas de demande de réinitialisation de mot de passe, vous pouvez ignorer cet e-mail.

Merci, yada yada

Maintenant, codage yourscript.lang: Ce script a besoin d'un formulaire. Si le var mise à jour passées sur l'URL, le formulaire de demande pour le nom d'utilisateur et adresse e-mail. Si la mise à jour n'est pas passé, il demande le nom d'utilisateur, adresse e-mail et le code d'identification de l'envoyé dans l'e-mail. Vous aussi vous demander un nouveau mot de passe (deux fois bien sûr).

Pour vérifier que l'utilisateur est nouveau mot de passe, vous vérifiez le nom d'utilisateur, adresse e-mail et le code d'identification de tous les match, que la demande n'a pas expiré, et que les deux nouveaux mots de passe correspondent. En cas de succès, vous modifiez le mot de passe utilisateur pour le nouveau mot de passe et effacer le mot de passe réinitialiser les champs de la table user. Veillez aussi à déconnecter l'utilisateur/effacer tous les témoins de connexion et de rediriger l'utilisateur vers la page de connexion.

Essentiellement, le new_passwd_id champ est un mot de passe qui ne fonctionne que sur la page de réinitialisation de mot de passe.

Un potentiel d'amélioration: vous pouvez supprimer <username> à partir de l'email. "Quelqu'un doit demander une réinitialisation du mot de passe pour un compte à cette adresse e-mail...." Rendant ainsi le nom d'utilisateur quelque chose que l'utilisateur sait si l'email est intercepté. Je n'ai pas commencé de cette façon parce que si quelqu'un est d'attaquer le compte, ils connaissent déjà le nom d'utilisateur. Cela a ajouté de l'obscurité s'arrête man-in-the-middle attaques d'opportunité en cas de quelqu'un de malveillant arrive à intercepter le courrier électronique.

Que pour vos questions:

la génération de la chaîne aléatoire: Il n'a pas besoin d'être extrêmement aléatoire. Tout générateur de GUID ou même md5(concat(sel,current_timestamp())) est suffisante, où le sel est quelque chose sur l'enregistrement de l'utilisateur comme timestamp compte a été créé. Il doit être quelque chose que l'utilisateur ne peut pas voir.

minuterie: Oui, vous avez besoin de ce juste pour garder votre base de données sain d'esprit. Pas plus d'une semaine est vraiment nécessaire, mais au moins 2 jours puisque vous ne savez jamais combien de temps un e-mail de retard dernière.

Adresse IP: Depuis l'e-mail pourrait être retardée par jours, l'adresse IP n'est utile pour l'enregistrement, pas de validation. Si vous souhaitez l'enregistrer, de le faire, sinon vous n'en avez pas besoin.

Écran de réinitialisation: Voir ci-dessus.

Espérons qu'il couvre. Bonne chance.

Vous pouvez envoyer un e-mail à l'utilisateur avec un lien. Ce lien devrait contenir une dur de deviner chaîne (comme GUID). Sur le côté serveur, vous souhaite également de stocker la même chaîne que vous avez envoyé à l'utilisateur. Maintenant, lorsque l'utilisateur appuie sur le lien, vous pouvez trouver dans votre db entrée avec une même chaîne secrète et réinitialiser son mot de passe.

Je pense que Microsoft guide pour ASP.NET l'Identité est un bon début.

https://docs.microsoft.com/en-us/aspnet/identity/overview/features-api/account-confirmation-and-password-recovery-with-aspnet-identity

Code que j'utilise pour ASP.NET Identité:

Web.Config:

<add key="AllowedHosts" value="example.com,example2.com" />

AccountController.cs:

[Route("RequestResetPasswordToken/{email}/")]
[HttpGet]
[AllowAnonymous]
public async Task<IHttpActionResult> GetResetPasswordToken([FromUri]string email)
{
if (!ModelState.IsValid)
return BadRequest(ModelState);
var user = await UserManager.FindByEmailAsync(email);
if (user == null)
{
Logger.Warn("Password reset token requested for non existing email");
//Don't reveal that the user does not exist
return NoContent();
}
//Prevent Host Header Attack -> Password Reset Poisoning. 
//If the IIS has a binding to accept connections on 80/443 the host parameter can be changed.
//See https://security.stackexchange.com/a/170759/67046
if (!ConfigurationManager.AppSettings["AllowedHosts"].Split(',').Contains(Request.RequestUri.Host)) {
Logger.Warn($"Non allowed host detected for password reset {Request.RequestUri.Scheme}://{Request.Headers.Host}");
return BadRequest();
}
Logger.Info("Creating password reset token for user id {0}", user.Id);
var host = $"{Request.RequestUri.Scheme}://{Request.Headers.Host}";
var token = await UserManager.GeneratePasswordResetTokenAsync(user.Id);
var callbackUrl = $"{host}/resetPassword/{HttpContext.Current.Server.UrlEncode(user.Email)}/{HttpContext.Current.Server.UrlEncode(token)}";
var subject = "Client - Password reset.";
var body = "<html><body>" +
"<h2>Password reset</h2>" +
$"<p>Hi {user.FullName}, <a href=\"{callbackUrl}\"> please click this link to reset your password </a></p>" +
"</body></html>";
var message = new IdentityMessage
{
Body = body,
Destination = user.Email,
Subject = subject
};
await UserManager.EmailService.SendAsync(message);
return NoContent();
}
[HttpPost]
[Route("ResetPassword/")]
[AllowAnonymous]
public async Task<IHttpActionResult> ResetPasswordAsync(ResetPasswordRequestModel model)
{
if (!ModelState.IsValid)
return NoContent();
var user = await UserManager.FindByEmailAsync(model.Email);
if (user == null)
{
Logger.Warn("Reset password request for non existing email");
return NoContent();
}            
if (!await UserManager.UserTokenProvider.ValidateAsync("ResetPassword", model.Token, UserManager, user))
{
Logger.Warn("Reset password requested with wrong token");
return NoContent();
}
var result = await UserManager.ResetPasswordAsync(user.Id, model.Token, model.NewPassword);
if (result.Succeeded)
{
Logger.Info("Creating password reset token for user id {0}", user.Id);
const string subject = "Client - Password reset success.";
var body = "<html><body>" +
"<h1>Your password for Client was reset</h1>" +
$"<p>Hi {user.FullName}!</p>" +
"<p>Your password for Client was reset. Please inform us if you did not request this change.</p>" +
"</body></html>";
var message = new IdentityMessage
{
Body = body,
Destination = user.Email,
Subject = subject
};
await UserManager.EmailService.SendAsync(message);
}
return NoContent();
}
public class ResetPasswordRequestModel
{
[Required]
[Display(Name = "Token")]
public string Token { get; set; }
[Required]
[Display(Name = "Email")]
public string Email { get; set; }
[Required]
[StringLength(100, ErrorMessage = "The {0} must be at least {2} characters long.", MinimumLength = 10)]
[DataType(DataType.Password)]
[Display(Name = "New password")]
public string NewPassword { get; set; }
[DataType(DataType.Password)]
[Display(Name = "Confirm new password")]
[Compare("NewPassword", ErrorMessage = "The new password and confirmation password do not match.")]
public string ConfirmPassword { get; set; }
}