通過電話更換密碼有什麼影響？

Question

我維護的應用程序提供了一個標準的密碼重置腳本。我的僱主希望爲我們的支持代表添加一個工具，以手動將密碼設置爲自己選擇的內容，並通過電話將密碼提供給客戶。

在我的應用程序中的安全性預計將是一流的，所以這在我的腦海中設置各種警鐘。

除了允許支持人員知道客戶密碼的明顯禁忌之外，在這種情況下應該瞭解哪些其他安全隱患？在欺詐的情況下，這會增加我們的法律責任嗎？

Answer 1

我認爲這是你必須爲客戶提供重置密碼的能力。客戶將忘記他們的密碼，並需要他們重置。假設客戶親自見面並確認他們的身份是不可能的，所以在人們驗證了客戶的身份（以某種方式認爲是足夠的）之後，可以通過電話完成。任何書面形式的溝通（如電子郵件）幾乎可以保證在某處存檔，因此使用該形式的密碼是一個不好的主意。電話交談也可能被記錄下來，但至少它不可搜索。因人而異。

這就是說，你通過電話發出的東西肯定是臨時密碼，需要在客戶第一次登錄時進行更改（並且最好只在短時間內有效）。否則你的員工會知道客戶的密碼！

我不能說法律責任。

Answer 2

由於通過手機傳輸強大的隨機密碼沒有錯誤，因此支持人員可能會傾向於選擇弱密碼（如字典詞加上一些字母），如果他們有機會這樣做的話。此外，他們可能會寫下密碼，以防客戶誤聽並回電，這可能導致更多的人知道密碼。