От клиента мы получаем много запросов на сброс пароля (срок действия истек или утерян). Я подумал об автоматическом решении:
Что вы думаете об этом решении? Это спасти или есть способы получше? И когда да, есть идея, как это решить?
Заранее спасибо.
То, что вы ищете, называется самостоятельным сбросом пароля. Он даже имеет аббревиатуру (SSPR) и является частью управления идентификацией и доступом.
Множество поставщиков публикуют решения для этого, и хотя рекомендации по продуктам здесь не по теме, в число поставщиков входят IBM, Hitachi ID Systems, Microsoft и Courion.
Обычно это самое дешевое и базовое предложение. Однако в большинстве случаев эта функция основана на вторичных учетных данных (чаще всего на контрольных вопросах или «знаете ли вы пароль для своей учетной записи на что-нибудь? ").
По крайней мере, один из упомянутых выше поставщиков предлагает готовое решение, очень похожее на то, о котором вы говорите, хотя работа с телефонами среди этих продуктов значительно реже.
Конечно, это меняет ваши следы безопасности. Если вы можете обеспечить доступ к порталу только изнутри предприятия (на самом деле это очень сложно), ваш список телефонных номеров обновлен, а телефоны защищены от кражи (или являются внутренними проводными телефонами), это проще. Если телефоны являются личными мобильными телефонами сотрудников, самым слабым звеном в вашей системе становится кража или взлом одного из них. Убедитесь, что вы согласны с этим, прежде чем продолжить.
Имейте в виду также, что требуемый компромисс для сброса пароля службы поддержки обычно - это просто социальная инженерия и, возможно, знание ответов на вопросы, которые могут задать сотрудники службы поддержки (если таковые имеются), поэтому маловероятно, что SSPR будет вашим самым слабым звеном. . Это недостаток безопасности на предприятиях, о котором часто забывают.
Самостоятельное создание этого с помощью asp.net и lync обычно не лучший план. Вы будете доверять этой службе с учетной записью, которая может сбрасывать пароли практически для любой другой учетной записи, поэтому это чрезвычайно большая цель для компрометации. Я бы не хотел так доверять некоторым скриптам, которые я быстро взломал.