Powiedzmy, że osoba atakująca ma Twoje hasło. Logujesz się i resetujesz. Jeśli reset nie unieważni wszystkich istniejących sesji, osoba atakująca nadal ma dostęp, o ile nie pozwoli, aby sesja wygasła.

Reset tak naprawdę nic nie przyniósł w tym scenariuszu.

W zależności od tego, co robi witryna, mogą również wystąpić problemy z zalogowaniem się przy użyciu nieaktualnego hasła. Powiedzmy, że Twoje hasło jest używane do odblokowania czegoś, jesteś zalogowany za pomocą „hasło1”, ale serwer ma teraz Twoje hasło zapisane jako „hasło2”, co się dzieje? Jest to oczywiście hipotetyczne, ale miejmy nadzieję, że to ilustruje.

Przekierowanie do ekranu logowania to chyba tylko zalecenie. Nie jestem pewien, dlaczego ma to znaczenie, dokąd wysyłasz użytkownika, ale z punktu widzenia użyteczności bardziej sensowne jest wysłanie użytkownika na stronę logowania niż na stronę główną.

Ochrona sesji na potencjalnie zagrożonym koncie

Nie ma potrzeby przekierowywania do strony logowania, jeśli zarządzanie sesją po zmianie hasła odbywa się w bezpieczny sposób. Oznacza to, że dopóki wszystkie identyfikatory bieżącej sesji są unieważnione, a bieżąca sesja jest dołączona do nowego identyfikatora sesji (zwykle wystawiany jako token w pliku cookie uwierzytelniania - plik cookie jest wysyłany tylko do sesji, która właśnie zmieniła hasło), to tam nie ma ryzyka, że ​​osoba atakująca, która jest już na koncie, pozostanie zalogowana.

Artykuł OWASP

Uzasadnienie artykułu OWASP zostało wyjaśnione poniżej. Nie ma nic złego w aspekcie bezpieczeństwa, jednak występują pewne problemy z użytecznością.

Funkcja resetowania hasła jest często używana, gdy użytkownik chce zabezpieczyć swoje konto.

Poprzez unieważnienie wszystkich istniejące sesje po zresetowaniu hasła, system upewnia się, że tylko osoba z nowym hasłem może się zalogować.

Załóżmy na przykład, że osoba atakująca, która uzyskała dostęp do konta przy użyciu starego hasła, jest zalogowana . Zresetowanie wszystkich sesji spowoduje wylogowanie atakującego.

Słyszę, że po co wylogowywać bieżącego użytkownika?

Powiedzmy, że atakujący korzysta z sesji bieżącego użytkownika, powiedzmy przy użyciu luki w zabezpieczeniach naprawy sesji. Oznacza to, że osoba atakująca ma tę samą sesję co rzeczywisty użytkownik. Zresetowanie bieżącej sesji zapewni również, że na koncie nie ma nikogo, kto nie powinien mieć dostępu.

Przekierowanie do strony logowania w powyższym cytacie tak naprawdę opisuje fakt, że należy wylogować użytkownika bieżącej i wszystkich sesji (ale nie ma ryzyka, że ​​nie przestaniesz ich umieszczać w nowej sesji z nowym identyfikatorem).

Inne odpowiedzi są prawdopodobnie bardziej poprawne z punktu widzenia firmy netsec, ale chciałem dodać, że można również upewnić się, że użytkownik jest w stanie zalogować się przy użyciu nowego hasła. To sprawia, że ​​staje się oczywiste, jeśli coś jest nie tak, na przykład przeglądarka automatycznie wypełnia stare hasło.

Uniemożliwia również użytkownikom używanie resetowania hasła jako loginu. Na jednym z moich kont łatwiej jest odpowiedzieć na pytania zabezpieczające niż zapamiętać hasło, ponieważ za każdym razem, gdy je resetuję, muszę ustawić unikalne hasło i nie mogę ich zapamiętać.

Jest tylko jeden możliwy powód związany z bezpieczeństwem , aby wysłać Cię na stronę logowania, ponieważ wszystkie stare sesje mogą zostać unieważnione, a Twoja bieżąca aktywna sesja zmieniła hasło z zastąpione automatycznie:
Sprawia, że ​​resetowanie hasła do logowania jest bardziej kłopotliwe, przez co rzadziej go używasz, a tym samym zabezpiecza je przed podsłuchem i przypadkowym ujawnieniem.

Istnieje również powód związany z użytecznością za wysłanie cię tam: upewnia się, że możesz faktycznie użyć nowego hasła, a każda pamięć podręczna haseł w przeglądarce zostanie zaktualizowana.

Jeśli użytkownicy mogą mieć przeglądarkę w celu przechowywania ich haseł, przekierowanie użytkownika na stronę logowania umożliwi przeglądarce przechwycenie nowego hasła na tej stronie. W przeciwnym razie, następnym razem, gdy użytkownik zaloguje się do przeglądarki, „pomocnie” wypełni pole hasła starym hasłem - jest to czynność, która może spowodować zamieszanie, jeśli użytkownik nie zdaje sobie sprawy z tego, co się dzieje.

Jest to bardzo proste, jeśli pamiętamy o środkach zaradczych. W rzeczywistości unieważni wszystkie twoje aktywne sesje, a także urządzenie złodzieja, który spowodował problem.

Oprócz zapewnienia prostego mechanizmu tworzenia nowej, ważnej sesji, sprawdzania, czy nowe hasło działa i wylogowywania z bieżących sesji, istnieje również dodatkowa korzyść polegająca na tym, że użytkownik wprowadza hasło po raz trzeci, co ułatwia do zapamiętania.

Oprócz wielu innych punktów przedstawionych tutaj, istnieją zalety ograniczenia mechanizmu tworzenia sesji tylko do jednego punktu wejścia z punktu widzenia możliwości utrzymania / wzmocnienia / audytu.

Użytkownik resetujący hasło w stan zablokowania nie powinien być koniecznie traktowany jako zalogowany użytkownik, nawet po przejściu przez wszelkie posiadane pętle potwierdzające tożsamość, w przeciwnym razie masz dodatkową sekwencję do przetestowania podczas przeprowadzania audytu / testów.

gdy zalogujesz się ponownie zaraz po zresetowaniu hasła

a) bardziej prawdopodobne jest, że zapamiętasz hasło 3 sekundy później niż 3 dni później.

b) Twoja przeglądarka może wtedy zapytać użytkownika, czy chce zaktualizować swoje zapisane hasło nowym, a następnie zapamięta je na stronie logowania.