[security] 이후 일반 텍스트 검색을 위해 어떻게 사용자 암호 저장소에 윤리적으로 접근해야합니까?

점점 더 많은 웹 사이트와 웹 응용 프로그램을 계속 구축함에 따라 사용자에게 문제가 발생했을 때 검색 할 수있는 방식으로 사용자 암호를 저장하라는 메시지가 자주 표시됩니다 (잊어 버린 암호 링크를 이메일로 보내거나 전화 등)) 내가이 관행에 맞서 싸울 수있을 때 실제 비밀번호를 저장하지 않고 비밀번호 재설정 및 관리 지원을 가능하게하는 ‘추가’프로그래밍을 많이합니다.

내가 싸울 수 없을 때 (또는 이길 수없는 경우) 비밀번호는 데이터베이스에 일반 텍스트로 저장되지 않도록 항상 어떤 방식 으로든 비밀번호를 인코딩합니다.하지만 DB가 해킹 될 경우 범인이 암호를 해독하는 데 많은 시간이 걸리지 않으므로 불편합니다.

완벽한 세계 사람들은 암호를 자주 업데이트하고 여러 사이트에 걸쳐 복제하지 않습니다. 불행히도 나는 같은 직장 / 가정 / 이메일 / 은행 암호를 가진 많은 사람들을 알고 있으며 도움이 필요할 때 자유롭게 암호를 제공합니다. DB 보안 절차가 어떤 이유로 실패하면 재정적 소멸을 책임지는 사람이되고 싶지 않습니다.

도덕적, 윤리적으로 저는 일부 사용자의 경우 생계를 훨씬 덜 존중하더라도 보호 할 책임이 있습니다. 솔트 해시 및 다른 인코딩 옵션에 대해 접근해야 할 방법과 인수가 많이 있다고 확신하지만, 저장해야 할 때 ‘최상의 사례’가 있습니까? 거의 모든 경우에 나는 PHP와 MySQL을 사용하고 있는데, 그것이 세부 사항을 처리 해야하는 방식에 차이가 있다면.

현상금에 대한 추가 정보

나는 이것이 당신이하고 싶은 것이 아니며 대부분의 경우 거부하는 것이 가장 좋다는 것을 알고 싶습니다. 그러나 나는이 접근법을 취하는 장점에 대한 강의를 찾고 있지 않습니다.이 접근법을 취하면 취할 수있는 최선의 조치를 찾고 있습니다.

아래의 메모에서 나는 노인들, 정신적으로 어려움을 겪고 있거나 매우 어린 사람들을 위해 마련된 웹 사이트가 안전한 암호 복구 루틴을 수행하도록 요청받을 때 사람들에게 혼란을 줄 수 있다고 지적했다. 이러한 경우에는 간단하고 평범한 것을 알 수 있지만 일부 사용자는 서비스 기술을 사용하여 시스템에 도움을 주거나 직접 전자 메일 / 표시하도록하는 추가 지원이 필요합니다.

이러한 시스템에서 사용자가 이러한 수준의 액세스 지원을 제공하지 않으면 이러한 인구 통계의 감소율이 응용 프로그램을 방해 할 수 있으므로 이러한 설정을 염두에두고 응답하십시오.

모두에게 감사 드려요

이것은 많은 토론과 함께 재미있는 질문이었고 나는 그것을 즐겼습니다. 결국 나는 암호 보안을 유지하는 대답 (일반 텍스트 또는 복구 가능한 암호를 유지할 필요는 없지만)에서 내가 찾은 주요 단점없이 시스템에 로그인 할 수 있도록 지정한 대답을 선택했습니다. 정상적인 비밀번호 복구.

언제나 그렇듯이 여러 가지 이유로 정답으로 표시하고 싶은 약 5 개의 답변이 있었지만 가장 좋은 답변을 선택해야했습니다. 나머지는 모두 +1이었습니다. 모두 감사합니다!

또한이 질문에 투표하고 / 또는 좋아하는 것으로 표시 한 스택 커뮤니티의 모든 사람들에게 감사드립니다. 저는 칭찬으로 100 표를 얻었으며이 토론이 다른 사람이 저와 같은 관심사를 갖는 데 도움이 되었기를 바랍니다.

---

---

답변