Czy automatyczne generowanie haseł podczas rejestracji to dobry pomysł?

Opracowuję system rejestracji dla projektu, nad którym pracuję.

Ponieważ użytkownicy zwykle nie rejestrują się, jeśli proces jest zbyt długi, pomyślałem, że potrzebuję (przynajmniej początkowo) tylko ich e-maila, do którego wyślę im automatycznie wygenerowane hasło (i to pozwoli mi również zweryfikować ich adres e-mail) ). To również uniemożliwiłoby im wybranie słabego hasła w celu szybkiego zakończenia rejestracji.

Do tej pory nie znalazłem żadnych wad, ale obawiam się, że są takie, ponieważ nigdy nie widziałem strony używającej tego systemu.

Czy to dobry pomysł?

PS: oczywiście wdrażam również rejestrację za pośrednictwem Facebooka i innych podobnych usług, aby umożliwić ludziom szybką rejestrację bez potrzeby podawania hasła, ale wielu może chcieć wybrać klasyczną rejestrację ze względu na prywatność lub dlatego, że nie korzystać z którejkolwiek z tych usług.

— Uparty
źródło

Brzmi świetnie, jedyne, o co martwię się, to to, że hasła są zbyt trudne i ludzie nie pamiętają tego. Dodałbym więc ekran początkowy, aby zmienić hasło przy pierwszym logowaniu użytkowników.

— Alexus

Lub raczej sugestię, aby się zmienili, więc wyraźnie widać, że mogą to zrobić w dowolnym momencie, ale ja, jako użytkownik, nie zmienię swojego hasła od razu, może być następnym razem, gdy się loguję.

— Alexus

Nie sądzę, aby utrudniało to rejestrację, ale jako użytkownik widzę to jako przeszkodę, ponieważ po rejestracji muszę zmienić hasło na wybrane przeze mnie. Chyba że nie oferujesz tej opcji, a byłoby to jeszcze bardziej frustrujące.

— Last1Here

Wysyłanie hasła na adres e-mail jest uważane za problem z bezpieczeństwem . Moje osobiste podejście do tego jest takie, że po rejestracji użytkownik w ogóle nie podaje (ani nie otrzymuje) hasła. Loguje się do aplikacji i otrzymuje e-mail weryfikacyjny. Na stronie weryfikacji poprosisz go o ustawienie hasła do swojego konta.

— Tasos K.

Nie, myślę, że najlepszą sugestią jest @TasosK. - po prostu logujesz osobę n i wysyłasz e-mail z potwierdzeniem. W tym e-mailu znajduje się link podobny do linku do resetowania hasła, który zarówno: potwierdza e-mail i monituje użytkownika o podanie hasła po kliknięciu tego linku.

— Alexus

Odpowiedzi:

Problem polega na tym, że hasło powinno pojawiać się zwykłym tekstem tak rzadko, jak to możliwe.

W twoim przypadku hasło pojawia się w postaci zwykłego tekstu w wiadomości e-mail. Ma to kilka wad:

Jeśli konto tej osoby zostanie przejęte, haker uzyska również dostęp do Twojej witryny.
Jeśli na środku znajduje się złośliwy człowiek, może on łatwo uzyskać dostęp do hasła.

Co więcej:

Hasła generowane automatycznie są trudne do zapamiętania, więc zamiast ułatwiać życie użytkownikom, utrudniasz je, a jednocześnie zachęcasz do zapisania hasła na Post-it, co może nie być najlepszą rzeczą pod względem bezpieczeństwa.

Dlatego większość stron internetowych, które generują takie hasła podczas rejestracji, czynią je hasłami jednorazowymi. Innymi słowy, użytkownik otrzymuje wiadomość e-mail z losowym hasłem, ale gdy użyje go do zalogowania, strona internetowa natychmiast prosi o nowe hasło wybrane przez użytkownika, zapobiegając trzem wspomnianym wyżej wadom.

— Arseni Mourzenko
źródło

„Jeśli konto tej osoby zostanie przejęte, haker uzyska również dostęp do Twojej witryny”. Stanie się tak zawsze, przynajmniej jeśli zresetujesz hasło - najprawdopodobniej to zrobisz.

— kat0r

@ kat0r: tak, ogólnie. Nadal istnieją pewne marginalne przypadki, w których tak nie jest. Jednym z przypadków jest to, że haker może po prostu skonfigurować konto pocztowe, aby przekazywać mu wszystkie e-maile: nie może poprosić o zresetowanie hasła, ponieważ może to wyglądać podejrzanie dla właściciela konta e-mail.

— Arseni Mourzenko

Również pamiętać, że super-duper auto generowane hasło może nie być w rzeczywistości bardziej bezpieczne niż dobrego hasła przez użytkowników: xkcd.com/936

— Znaki CD001

@ CD001: dlatego zaproponowano użycie losowo generowanych haseł zamiast losowo generowanych haseł , z korzyścią z tego, że są one bardzo, bardzo przyjazne dla użytkownika.

— Arseni Mourzenko

Szczerze mówiąc, nie ma to wiele wartości.

1) Większość ludzi używa własnego hasła, które pamięta. Jeśli tak, to zmiana hasła zajmie więcej czasu niż wypełnienie dodatkowego pola podczas rejestracji.

Zaletą twojego systemu może być to, że do tego czasu użytkownik jest zarejestrowany, więc go nie stracisz.

2) Jeśli używają menedżera haseł, łatwiej jest po prostu sprawić, aby menedżer haseł wypełnił preferowaną nazwę użytkownika i losowe hasło jednym kliknięciem, niż musiał później edytować plik i wstawić wygenerowane hasło (prawdopodobnie potrzeba 3 lub 4 kliknięć dodatkowych ).

3) Obecny system jest tak szeroko wykorzystywany, że niektórym ludziom będzie brakować pola hasła (tak jak zrobiłem z google, ale to google i ufam temu).

— Claudiu Creanga
źródło