Manejo de contraseñas perdidas
- Área: Control de Acceso y Autenticación
- Tipo de pauta: Directriz
- Carácter de la pauta: Obligatoria
En el caso de pérdida u olvido de la contraseña debemos tener en cuenta las siguientes indicaciones
Pautas
Título | Carácter |
---|---|
Dirección de correo electrónico registrada | Obligatoria |
Datos sensibles en el correo electrónico | No Recomendada |
Autenticación con contraseña cognitiva | No Recomendada |
Restablecimiento de contraseñas en sistemas de transacciones de alto valor | No Recomendada |
Mensaje de restablecimiento de contraseña | Obligatoria |
Dirección de correo electrónico registrada
Utilizar una dirección de correo electrónico registrada para ese usuario
Si se guardan las contraseñas encriptadas de forma irreversible, como se recomienda, y un usuario olvida su contraseña entonces no se le podrá proporcionar acceso. En estos casos, debemos generar una nueva contraseña y enviarla a la dirección de correo electrónico registrada para ese usuario.
En ningún caso debemos enviar la contraseña a una dirección de correo electrónico no registrada para ese usuario ya que podría ser un atacante que intenta suplantar al usuario real.
Datos sensibles en el correo electrónico
Evitar incluir el nombre de usuario en el correo electrónico
Debemos evitar incluir el nombre de usuario en el mensaje del correo electrónico que contiene la nueva contraseña, que va sin cifrar, para reducir las probabilidades de que un atacante pueda robar tanto la contraseña como el nombre de usuario.
Autenticación con contraseña cognitiva
No utilizar la autenticación con contraseña cognitiva.
Para evitar la divulgación de una nueva contraseña por correo electrónico, se podría permitir al usuario autenticarse sin contraseña, respondiendo a una o más preguntas personales cuyas respuestas hayan sido registradas previamente por el usuario, dando la opción al propio usuario, una vez identificado, de proporcionar una nueva contraseña.
En cualquier caso, los sistemas de restablecimiento/recuperación de contraseñas son métodos poco seguros, por lo que se desaconseja su utilización. En general, las respuestas a las preguntas requeridas por los sistemas de restablecimiento de contraseñas son fáciles de obtener de registros públicos (ej: apellido materno de la madre, color de coche, etc).
Restablecimiento de contraseñas en sistemas de transacciones de alto valor
No usar sistemas de restablecimiento de contraseñas en sistemas de transacciones de alto valor.
Los sistemas de transacciones de alto valor no deben usar sistemas de restablecimiento de contraseñas. Para las demás aplicaciones no es recomendable su utilización.
Mensaje de restablecimiento de contraseña
Enviar un mensaje al usuario con la petición de restablecimiento de la contraseña.
La aplicación debe enviar un mensaje al usuario explicando que alguien ha activado la funcionalidad de restablecimiento de contraseña. Si el usuario no lo solicitó se reportará una incidencia. Si fue solicitado, se proporcionará un token corto, criptográficamente único y limitado en el tiempo que será introducido en la aplicación para poder cambiar la contraseña. Al finalizar se mandará un correo al usuario y al administrador.
Contenidos relacionados
Código | Título | Tipo | Carácter |
---|---|---|---|
RECU-0675 | Envío de credenciales por correo electrónico en Drupal | Ejemplo | No recomendado |
RECU-0582 | Manejo de las contraseñas perdidas en PHP | Ejemplo | Obligatorio |