1.6.3  重新设置丢失或被遗忘的密码

重新设置密码

þ 将丢失密码作为安全事件对待，采取一些措施，例如记录事件细节，包括客户端IP地址。

þ 在整个重新设置密码的过程中仔细管理会话状态，不要跟踪隐藏表单字段或查询字符串上的会话账户标志符。

通过电子邮件发送信息

þ 绝对不要通过电子邮件发送敏感信息。

þ 如果可能的话，使用PGP或S/MIME来数字化签名和加密电子邮件通信。

分配临时密码

þ 如果创建临时密码，则使用带有充分信息量的强随机算法。

使用秘密问题

þ 使用具有足够多可能答案的问题来防止猜测或暴力攻击。

þ 避免使用许多人都会选择相同答案的问题。