如果小偷拥有手机，如何才能安全地恢复密码？

Question

标准密码恢复包括向用户发送密码重置机制；或者发送电子邮件、sms或电话。但是，如果手机被偷了，窃贼就可以完全使用这些服务，这使得这种服务的使用并不特别安全。

令人难忘的问题等等并不理想，因为它们是可以猜测的(尤其是因为窃贼理论上可以在Facebook上找到这样的数据)。

生物识别技术还没有真正存在(并不是所有的手机都有指纹记录)，面部识别也很容易。

为移动应用程序提供密码恢复的最佳选择是什么，假设盗贼能够访问用户其他服务？

Answer 1

如果认为设备是折衷的，则不能做任何依赖于向设备发送信息的操作。这包括两个因素认证(SMS，或应用程序)和电子邮件。

您剩下的唯一选项是将帐户重置建立在用户知道某事(主密码、安全问题)或与所述用户面对面会面(前提是您可以对他进行物理身份验证)的基础上。或者，如果您已经验证了客户的地址，则可以使用标准的邮政邮件。

今天的应用程序不必费心这么做，因为客户端总是虚拟的，唯一能将某人与他的帐户联系在一起的东西就是他的电子邮件地址。这就是为什么便携设备保护对于用户来说是必要的，而且服务提供者没有什么可以避免的了。

Answer 2

我绝对不喜欢安全问题；正如您所说，在许多情况下，坏人都可以猜测，而且用户(包括我自己)忘记这些问题的频率比一些人想象的要高。其他保密方案在原则上肯定会奏效。你可以在注册时提供一个生成的恢复键，用户可以在重置时间进入一个网站或应用程序，或者让他们自己想出一个5到6位数字的PIN来解锁您的手机应用程序(其中包括一个重新设置选项的链接，该选项可以满足激活时的一个因素)，尽管你需要一半的时间来设计和编写应用程序代码，以将其解锁(如果手机只有TPM的话)，并且它的安全性将取决于用户选择的PIN的强度。当然，这些问题将与任何一种基于秘密元素的系统混合在一起，这些系统的作用就像密码一样。也许在注册时产生一个令人难忘但又适当随机的密码以代替恢复密钥.

但实际上，如果我们局限于一个恢复过程，它不涉及接近另一个密码/PIN/passphrase/key，或者生物识别技术，或者分离设备--那些小的一次性代码标记--在2015年仍然是有用的--那么你可以采用一种常见的方法，让用户实际与客户服务代理进行交谈，并回答从您为他们提供的任何用户数据中提取的非常具体的验证问题。显然，你的代表最好受过良好的训练，以适当彻底地阻止这里的社会工程。一个更安全的机制--如果你有用户的姓名和地址--将像美国邮局在网上更改你的邮寄地址时那样核实身份:让一个验证服务(或自己的)向用户收取一小笔费用--比如说，1美元。这迫使重新安置者输入一个有效的信用卡/借记卡号码和一个相关的有效账单地址等，然后你就可以将这个经过验证的名字和地址与你在文件中的用户信息相匹配。如果安全性真的非常重要，并且立即重置和访问并不重要，那么您甚至可以更进一步，而不是立即验证和重置，您可以验证并发送或FedEx一个经过验证的地址的密钥(当然，如果用户选择了该路径，用户将为更快的传递付费)，就像其他人建议的那样。或者你可以让用户通过公证员来验证他们的身份(无论如何，在美国)。或者..。

无论如何，这在很大程度上取决于您如何在安全性的重要性与避免用户不便和让用户尽快恢复访问的重要性之间取得平衡。

Answer 3

我可以认为的选择是：

安装防盗应用，如果你使用像安卓输了这样的android服务，可以帮助你控制屏幕和锁定，也可以操纵浏览历史的用户会话。

注销会话，如果可能的话，在您的电话上保留一些防盗服务，并在互联网上锁定您的电话。

其他解决方案会欺骗窃贼点击您发送的恶意链接并控制您的设备，如果该设备通过wifi连接，您可以获取wifi的位置并锁定theif。

最后一个选择可能是注入有效载荷，比如这和黑你自己的手机。