nicht angemeldet
Moin,
Das Problem, was ich dabei sehe: Wenn man in ein Formular einfach seine Benutzerkennung eingibt, und dann an die in den Benutzerdaten angegebene Mailadresse ein Passwort geschickt wird, kann man sowas prima mißbrauchen, indem man allen Teilnehmern (Benutzerkennungen sind auch der Webalizer-Statistik bekannt) ständig neue Passwörter zuschickt.
Noe. Als ich das mal implementiert habe, lief a) das neue Passwort nach 24h aus und b) blieb das alte Passwort gültig, bis das neue Passwort benutzt wurde. Wenn jemand also das neue Passwort nicht bestellt hat, kann er die Mail einfach wegwerfen und weiterhin sein altes Passwort benutzen. Und da die Existenz von zwei Passwörtern für einen Account die für brute force nötige Zeit theoretisch halbieren würde, wird das Passwort nach einiger Zeit ungültig. (Weiterhin wäre es sinnvoll, wenn kein weiteres neues Passwort angefordert werden kann, bevor das alte neue Passwort ausgelaufen oder benutzt worden ist.)
--
Henryk Plötz
Grüße aus Berlin