パスワードリセットリンクの作成方法は？

Question

パスワードリセットリンクをMVCとC#に作成することをお勧めしますか？つまり、ランダムトークンを作成します。ユーザーに送信する前にそれをどのようにエンコードするのですか？ MD5は十分ですか？あなたは他の安全な方法を知っていますか？

Answer 1

私はあなたがこの目的のために暗号化された文字列を必要とは思わない。 Guidで1つの文字列を作成すれば十分でしょう。

string thatString=Guid.NewGuid("n").ToString(); 

これを特定のユーザーアカウントに対してdbテーブルに保存します。この文字列を持つユーザーのリンクを作成し、それらのユーザーに送信します。ユーザーがクリックすると、アクションメソッドが呼び出され、保存されたこの一時文字列に対応するユーザーレコードが取得され、ユーザーがパスワードを更新するフォームが表示されます。

Guidがユニークであるかどうかが疑わしい場合は、thisを確認してください。

Answer 2

暗号で安全なRNGであるSystem.Security.Cryptography.RandomNumberGeneratorを使用してください。それを電子メールに含めるだけでなく、後で検索するためにDBに保存してください。私はそれをハッシュしている点を見ていない。

それはここに文書化されています：乱数を使用してより良いhttp://msdn.microsoft.com/en-us/library/system.security.cryptography.randomnumbergenerator.aspx

using System.Security.Cryptography; 

using(RandomNumberGenerator rng = new RandomNumberGenerator()) { 

    Byte[] bytes = new Byte[8]; 
    rng.GetBytes(bytes); 

    String sendThisInEmailAndStoreInDB = Convert.ToBase64String(bytes); 
} 

Answer 3

は、塩にハッシュです。ここでは、セキュリティの第一人者からの抜粋です：

@using System.Security.Cryptography; 
static byte[] GenerateSaltedHash(byte[] plainText, byte[] salt) 
{ 
HashAlgorithm algorithm = new SHA256Managed(); 

byte[] plainTextWithSaltBytes = 
    new byte[plainText.Length + salt.Length]; 

for (int i = 0; i < plainText.Length; i++) 
{ 
    plainTextWithSaltBytes[i] = plainText[i]; 
} 
for (int i = 0; i < salt.Length; i++) 
{ 
    plainTextWithSaltBytes[plainText.Length + i] = salt[i]; 
} 

return algorithm.ComputeHash(plainTextWithSaltBytes);    
} 

あなたがここに彼の答えの詳細を見ることができます：https://stackoverflow.com/a/2138588/1026459

は、基本的には、パスワードを作成します。それをここで塩とハッシュしてから、ユーザーが戻ったときに比較してください。リンクされた答えには、比較方法と塩/ハッシュの深い説明が含まれています。

Answer 4

実際、私はこれらのことをしません。

私は同じ問題に直面し、リセットトークンを送信することにしました。これを行うには、JWTトークンを使用しました。

このトークン（暗号化されています）では、有効期限を設定できます。顧客の電子メールアドレスをクレームとして含むリセットトークンを作成し、有効期限を設定し、これをデータベース（暗号化された形式）に保存してエンコードし、URLパラメータとしてリンクに配置するだけです。

次に、要求を受け取ると、トークンが有効であることを確認できます。その後、メールアドレスを確認してから、自分のアカウントの安全なパスワードリセット領域に移動してください。 （あなたはユーザー名などの他の主張を含めることができます）。

あなたは Install-Package JWT