我想知道是否有人曾经使用、构建或看到过完全在线且不需要发送某种密码重置电子邮件的密码恢复工具。
我了解安全问题，我完全接受这样的想法，即这不是一种安全的处理方式，但我的雇主已委托我研究这种类型的解决方案。我觉得我以前用过类似的东西。
我们主要关心的是垃圾邮件过滤器会抓取丢失的密码电子邮件。如果有格式化这些电子邮件的最佳实践，那也将是一件很棒的事情。
有什么想法吗？
谢谢
克雷格
【问题讨论】：
标签： security email forgot-password
几乎所有的安全都依赖于以下三件事的不同组合
并使用它们，对于给定的可能性水平，以验证当前交易中的交易对手是与您签订原始合同的同一方。
真的，这就是“在线身份”的全部含义 - 现在与我交谈的人是昨天被介绍给我的人的可能性有多大。
例如，密码是一个共享的秘密，双方都知道并假设拥有该秘密的另一个人就是他们认为的那个人。
这很简单。
安全问题（母亲的娘家姓）只是第二个密码，以防您忘记第一个密码。
OpenID 是一种受信任的第三方方法。 Stackoverflow 信任谷歌。我尝试登录 stackoverflow 和 SO 将我交给谷歌。 SO所看到的只是谷歌回来说“是的，他是”。
但是，与电子邮件渗透相比，OpenID 几乎没有被使用，因此它不能作为恢复选项。
电子邮件密码重置是涉及受信任第三方的直接共享机密的一个示例 - 双方都“信任”gmail，因此可以将共享机密发送到 gmail，并在给定的可能性级别上信任它，只有另一方才能访问该共享机密。
密码学终于可以作为受信任的第三方使用了。如果我知道您的公钥，我可以“信任” RSA 并通过加密来存储新密码，然后将其放在我的网站上。只有您可以阅读它，因此它可以用作即时的在线密码重置。但是 PGP/GPG 的渗透率比 OpenID 差很多，这个想法是行不通的（*）
您需要的是在签订合同时收集的第二个沟通渠道 - 通常是电子邮件，可能是 openid、手机号码或他们的 GPG 公钥。 但是您必须在签订初始合同时收集该渠道。
说到手机，我确实在我当地的手机店看到了一个整洁的手机——他们给我发了一个随机密码，然后当它到达我的手机时销售助理输入了密码——证明手机的主人在店里并且合规。 （对于给定的可能性水平）。
(*) 实际上我认为有一个解决方案 - http://www.itmanagerscookbook.com/Attitude/identitycrisis.html。如您所知，尝试表达上述概念是一项持续的努力。
【讨论】：
我知道的唯一安全的选择是在安全问题之后提供密码重置页面（母亲的婚前姓氏，但最好是用户可配置/更安全的）。
【讨论】：