Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.
Введение
Электронное письмо с уведомлением о пароле — распространенный способ восстановления пароля, используемый на веб-сайтах. Если пользователь забыл свой пароль, ему отправляется письмо для восстановления пароля, содержащее достаточно информации для повторного доступа к учетной записи. Этот метод восстановления пароля основан на предположении, что доступ к почтовому ящику для данного адреса электронной почты имеет только законный владелец аккаунта. Процесс часто инициируется нажатием пользователем ссылки «Забыли пароль» на веб-сайте, где после ввода имени пользователя или адреса электронной почты письмо с уведомлением о пароле автоматически отправляется в почтовый ящик владельца аккаунта. В этом письме может содержаться временный пароль или URL-адрес, по которому можно перейти для установки нового пароля для этой учетной записи. Новый пароль или URL-адрес часто содержат случайно сгенерированную строку текста, которую можно получить только путем прочтения этого конкретного письма. Другой способ — отправка по электронной почте всего или части исходного пароля. Отправка лишь нескольких символов пароля может помочь пользователю вспомнить исходный пароль, не раскрывая ему его полностью.
Password notification email is a common password recovery technique used by websites. If a user forgets their password, a password recovery email is sent which contains enough information for the user to access their account again. This method of password retrieval relies on the assumption that only the legitimate owner of the account has access to the inbox for that particular email address. The process is often initiated by the user clicking on a forgotten password link on the website where, after entering their username or email address, the password notification email would be automatically sent to the inbox of the account holder. This email may contain a temporary password or a URL that can be followed to enter a new password for that account. The new password or the URL often contain a randomly generated string of text that can only be obtained by reading that particular email. Another method used is to send all or part of the original password in the email. Sending only a few characters of the password can help the user to remember their original password without having to reveal the whole password to them.
Проблемы безопасности
Основная проблема заключается в том, что содержимое уведомления о пароле по электронной почте может быть легко обнаружено любым, кто имеет доступ к почтовому ящику владельца учётной записи. Это может произойти из-за подглядывания через плечо или если сам почтовый ящик не защищён паролем. Это содержимое может быть использовано для компрометации безопасности учётной записи. Таким образом, пользователь несёт ответственность за безопасное удаление письма или за то, чтобы его содержимое не стало известно кому-либо ещё. Частичным решением этой проблемы является установление срока действия для любых ссылок, содержащихся в письме, что делает его бесполезным, если оно не использовано вскоре после отправки. Любой способ отправки части исходного пароля означает, что пароль хранится в открытом виде и подвержен атакам злоумышленников. Именно поэтому на современных сайтах обычно создают новый пароль и генерируют токен. В случае взлома сайта, содержащийся в нём пароль может быть использован для доступа к другим учётным записям пользователя, если он использовал один и тот же пароль для нескольких учётных записей. Кроме того, электронные письма часто не являются безопасными. Если письмо не было зашифровано до отправки, его содержимое может быть прочитано любым, кто перехватит его.
The main issue is that the contents of the password notification email can be easily discovered by anyone with access to the inbox of the account owner. This could be as a result of shoulder surfing or if the inbox itself is not password protected. The contents could then be used to compromise the security of the account. The user would therefore have the responsibility of either securely deleting the email or ensuring that its contents are not revealed to anyone else. A partial solution to this problem, is to cause any links contained within the email to expire after a period of time, making the email useless if it is not used quickly after it is sent. Any method that sends part of the original password means that the password is stored in plain text and leaves the password open to an attack from hackers. This is why it is typical for newer sites to create a new password generate a token. If the site gets hacked, the password contained within could be used to access other accounts used by the user, if that user had chosen to use the same password for two or more accounts. Additionally, emails are often not secure. Unless an email had been encrypted prior to being sent, its contents could be read by anyone who eavesdrops on the email.