當用戶更改密碼時，是否有理由禁止他使用過去可能使用的密碼？

Question

我正在爲我的網站實施忘記密碼功能，並在查看其他網站的最佳做法時，發現gmail強制執行此操作，我沒有看到其他網站強制執行此限制。

Answer 1

關於密碼和密碼安全性有很多相當過時的想法。

如果用戶的密碼被泄露 - 然後很多天後他們改變它 - 攻擊者現在被阻止從系統中。

如果該用戶返回並重新使用舊密碼，那麼黑客可能會決定重試該帳戶/密碼並重新進入系統。

當然，它開闢了一整套新問題。使用戶不會記住他的密碼，他們就會開始將他們寫在粘貼到他們的顯示器上的便籤上。

個人？在我所從事的所有網站上，我從來沒有想過，對可能（重新）使用哪些密碼添加密碼過期/或限制是很重要的。

Answer 2

我原以爲它提供了很少或沒有增加的安全性。你相信用戶不會失去他們的密碼，但我想它可以兩種方式。

如果他們必須選擇一個新的密碼，那麼他們可能不得不把它寫下來或更可能再次忘記它，但是如果他們有一個新的密碼，知道他們使用的密碼的人不太可能使用它訪問您的網站。

無論哪種方式確保您存儲的哈希密碼進行比較而不是純文本。