仮パスワードのセキュリティについて

Question

会員制サイトを運営しています

最近はユーザー登録やパスワードリセットの際に「仮パスワード」式はめっぽう減って、urlにリセット用tokenを付与するスタイルや6桁のコードを入力といったスタイルが増えているように思います。

たとえば、salesforceの場合でも
https://help.salesforce.com/articleView?id=000230615&language=ja&type=1
このような記事がありました。

これはどういった意図からそのようになっているのでしょうか？

認証に必要な情報をメールに記載すると言う意味ではどれも同じような気がしますが、
digestされていないそのままのパスワードがメールに記載されるのは望ましくないということなのでしょうか？

<質問の背景>
現在はurlにtokenをセットするスタイルで実装しているのですが、メールブラウザなのかコピペミスなのか、認証に失敗するケースが増えており、問い合わせ増加に悩んでいる故です。

Answer 1

実際のところはわからないので想像ですが、仮パスワードで一度でもログインできてしまうと、それをずっと使い続けるユーザが発生するからでは？
＊正直それでも良い気はしますがｗ

運営側では、パスワードに対して責任回避の意向があるはずなので、使い続けられるのは避けたいんだと思います。

Comments

[h_daido]

ご回答ありがとうございます！
なるほど。そうすると仮パスフラグをつけて、仮パスによるログイン後には新らしいパスワードをセットすることをマストにすれば、実質問題なく運用できそうですね。

[退会済みユーザー]

仮パスワードの場合、既存のパスワードに影響を与えないため、別テーブルで管理するのが一般的だと思います。
また、処理や画面周りも仮パスワード用のものが必要です。

[h_daido]

確かに分けたほうが安全そうですね。ありがとうございます。思ってたより実装コストあがりそうだな....大変たすかりました！

Answer 2

te2ji さんの回答に同意ですが、別の理由として、よく分かってない脆弱性診断業者が、「平文メールにパスワードを載せるのは脆弱性だ」と指摘する、というのも可能性としてはあります。

Comments

[h_daido]

ご回答ありがとうございます！確かに....。仮パスワードは知識が中途半端なほど、脆弱性がありそうに感じるところですよね。