Tạo mã bí mật để đặt lại mật khẩu

Question

Tôi đang thực hiện mô-đun cho phép người dùng đặt lại mật khẩu. Tôi nhận thấy hầu hết các trang web mà họ cung cấp liên kết xác nhận chứa chuỗi truy vấn có băm duy nhất.

Câu hỏi của tôi là: Làm cách nào để tạo băm duy nhất này mỗi khi cùng một yêu cầu người dùng quên mật khẩu? Tôi có nên lưu trữ băm này trong cơ sở dữ liệu và sử dụng nó để xác minh sau này không? Nó có an toàn không? Hoặc tôi có nên tạo một số thuật toán tạo mật khẩu một lần không? Tôi có thể tạo OTP bằng cách nào?

Answer 1

Có, bạn nên

1. Tạo một thẻ reset ngẫu nhiên. Xem ví dụ this answer.
2. Lưu trữ trong cơ sở dữ liệu (có thể với thời gian hết hạn)
3. Gửi e-mail cho người dùng bằng mã thông báo đặt lại.
4. Người dùng truy cập trang đặt lại mật khẩu bằng mã thông báo đặt lại trong chuỗi truy vấn.
5. Kiểm tra cơ sở dữ liệu để xem người dùng được liên kết với mã thông báo đặt lại và nếu thời gian hết hạn không được chuyển.
6. Nếu mọi thứ kiểm tra, cho phép người dùng đặt lại mật khẩu và xóa mã thông báo đặt lại khỏi cơ sở dữ liệu.

Dường như có nhiều nhầm lẫn về việc tạo mã thông báo đặt lại (hoặc bất kỳ mã nào bạn muốn gọi). Vui lòng đọc câu trả lời tôi đã liên kết và không phát minh lại bánh xe bằng băm và hạt yếu.

Answer 2

1) Để tạo băm duy nhất, kết hợp thời gian hiện tại, id người dùng và một số muối (văn bản). Ví dụ: nếu trang web của bạn là mysite.com, thì hãy sử dụng mã này:

$hash = md5(time() . $userid . 'mysite'); 

Điều này sẽ tạo ra một hàm băm tốt đẹp.

2) Có, lưu trữ trong cơ sở dữ liệu.
3) Có, miễn là bạn hết hạn băm sau một khoảng thời gian cố định, nó sẽ được bảo mật.
4) Không, tạo mật khẩu một lần thường làm phiền người dùng.

Answer 3

Chỉ cần sử dụng một số hàm băm với ID của người dùng, muối của người dùng (bạn Muối mật khẩu của người dùng, phải không?) Và dữ liệu giả ngẫu nhiên nên được OK:

$pwd_reset_hash = hash ('sha256' , $user_id . $user_salt, uniqid("",true));

Lưu trữ nó trong DB (cùng với thời điểm đề nghị) là nút reset cho người dùng này

user_id pwd_reset_hash time_requested 
=========================================== 
123  ae12a45232... 2010-08-24 18:05 

Khi người dùng cố gắng sử dụng nó, hãy kiểm tra hash phù hợp với người dùng và rằng thời gian là gần đây (ví dụ: "thiết lập lại mã có giá trị trong 3 giờ "hoặc một cái gì đó như thế)

xóa nó khỏi DB khi được sử dụng hoặc hết hạn

Answer 4

Cách để thực sự tạo ra một số loại điều ngẫu nhiên và lưu trữ nó trong cơ sở dữ liệu. Ngay khi mật khẩu được thay đổi, bạn xóa bản ghi liên quan khỏi bảng để không thể sử dụng lại liên kết.

• Gửi url cho người dùng, bao gồm cả "mã thông báo".
• Nếu liên kết được truy cập, hãy kiểm tra xem mã thông báo có tồn tại hay không, cho phép người dùng thay đổi mật khẩu
• Xóa mã thông báo khỏi cơ sở dữ liệu.

Như đã nói trong các phản hồi khác, thực hiện một SHA1 hoặc MD5 của userid, kết hợp với microtime và một số chuỗi muối thường là đặt cược an toàn.