パスワードマネージャのリセットパスワードを実装する方法

Question

パスワードマネージャのリセットパスワード機能を実装するにはどうすればよいですか？私は現在、ハッシュ+塩漬けマスターパスワードを保存しており、マスターパスワード自体でパスワードを暗号化していますが、ユーザーがマスターパスワードを紛失した場合、これはパスワードを解読できないことを意味します。

マスターパスワードで暗号化されたバージョンのパスワードと、ユーザーの電子メールで暗号化されたバージョン+ユーザーがアカウントを作成したときに生成されるランダムトークンを保存することを考えましたが、これは安全でしょうか？これを行うときにベストプラクティスはありますか？

ユーザーの電子メールもハッシュとして保存されます。

私の質問を明確にするために、パスワードが失われた場合にパスワードで暗号化されたデータを復旧するためのベストプラクティスがありますか？

Answer 1

セキュリティは "ランダムトークン"をどのように格納するかに減少し、私はそれがまったく安全ではないと思います。ベストプラクティスはありません。あなたは紙の上にマスターパスワードを書いて、それを銀行などのセーフティボックスに入れておくことができます。

さらに短く：他の人物を信頼することなく、ローカルパスワードマネージャのパスワードリセット機能を使用することはできません。