سناریوی امنیتی مشترک زیر را در نظر بگیرید:
- من باید با یک ایمیل و رمز ورود به سیستم وارد شوم.
- نمی توانم رمز ورود خود را به خاطر بسپارم ، بنابراین من روی "رمز عبور فراموش شده" کلیک می کنم
- وب سایت به من ایمیل احتیاط می کند
- من می توانم فقط با ایمیل خود به حساب خود دسترسی پیدا کنم.
این در بسیاری از وب سایتها متداول است. معمولاً پیشنهاد می شود در هر وب سایتی از همان رمز عبور استفاده نکنید ، اما این مسئله مساله بارز آن است که به خاطر سپردن رمزهای عبور دشوار است. حال یک سناریوی موازی را در نظر بگیرید که به اعتقاد من امنیت آن معادل است:
- من باید با یک ایمیل وارد شوم
- وب سایت از من رمز عبور یک بار به من ایمیل می کند (رشته ای به طور تصادفی با آنتروپی کافی تولید شده است)
- OTP معتبر است زمان كوتاه مدت زمان (5 دقيقه <5 دقيقه)
- من فقط با ايميل مي توانم به اکانت خود دسترسی داشته باشم.
این سناریو دو مزیت عمده دارد. یکی ، دیگر نیازی به یادآوری رمزعبور برای وب سایت نیست. دو ، وب سایت دیگر اطلاعات مربوط به گذرواژه را ذخیره نمی کند (البته هش کردن و نمکی توصیه می شود اما همه ما می دانیم که برخی وب سایت ها این کار را نمی کنند.
چرا اصلاً از رمزهای عبور استفاده می کنید؟
