Пользователю не надо присылать пароль
Pavel Titov 29.03.2003 14:53
Надо генерировать новый и высылать его пользователю на e-mail.
Способ с хранением паролей в открытом виде и отправке их на e-mail плох по двум причинам:
1. При краже БД
мгновенно компрометируются
все пароли. При краже БД с зашифрованными паролями злоумышленнику требуется время на их расшифровку, которое может быть использовано для массовой принудительной смены паролей.
2. При получении злоумышленником доступа к e-mail пользователя, в том случае, если пользователь везде использует одинаковые пароли, злоумышленник может получить этот пароль, а не только пароль для доступа к конкретному сервису.
