パスワード通知メール

パスワード通知メールまたはパスワード回復メールは、 Web サイトで使用される一般的なパスワード回復手法です。ユーザーがパスワードを忘れた場合、ユーザーがアカウントに再度アクセスするのに十分な情報を含むパスワード回復メールが送信されます。このパスワード取得方法は、アカウントの正当な所有者だけがその特定のメール アドレスの受信トレイにアクセスできるという前提に基づいています。

このプロセスは、多くの場合、ユーザーがウェブサイト上のパスワードを忘れた場合のリンクをクリックすることで開始されます。ユーザー名またはメールアドレスを入力すると、パスワード通知メールがアカウント所有者の受信トレイに自動的に送信されます。このメールには、そのアカウントの新しいパスワードを入力するための一時パスワードまたはURL が含まれている場合があります。新しいパスワードまたは URL には、その特定のメールを読むことによってのみ取得できるランダムに生成されたテキスト文字列が含まれていることがよくあります。^[1]

使用される別の方法は、元のパスワードの全部または一部を電子メールで送信することです。パスワードのいくつかの文字だけを送信すると、ユーザーにパスワード全体を公開しなくても、元のパスワードを思い出すことができます。

主な問題は、パスワード通知メールの内容が、アカウント所有者の受信トレイにアクセスできる人なら誰でも簡単に見つけられることです。^{[2]これは、}ショルダーサーフィンの結果、または受信トレイ自体がパスワードで保護されていない場合に発生する可能性があります。その内容は、アカウントのセキュリティを侵害するために使用される可能性があります。したがって、ユーザーは、メールを安全に削除するか、その内容が他の人に公開されないようにする責任があります。この問題の部分的な解決策は、メールに含まれるリンクを一定期間後に期限切れにすることです。これにより、送信後すぐに使用しないとメールが役に立たなくなります。

元のパスワードの一部を送信する方法は、パスワードがプレーンテキストで保存され、ハッカーの攻撃に対してパスワードが無防備な状態になることを意味します。^[3]このため、新しいサイトでは新しいパスワードを作成してトークンを生成するのが一般的です。サイトがハッキングされた場合、ユーザーが2つ以上のアカウントに同じパスワードを使用することを選択した場合、そこに含まれるパスワードを使用して、ユーザーが使用している他のアカウントにアクセスできます。さらに、電子メールは安全ではないことがよくあります。電子メールが送信前に暗号化されていない限り、電子メールを盗聴した人なら誰でもその内容を読むことができます。