我想知道是否有人曾经使用，构建或看到过一个完全在线的密码恢复工具，并且不需要发送某种密码重置电子邮件。
我理解安全问题，我完全接受这不是一种安全的处理方式的想法，但我的雇主已经派我去研究这种解决方案。我觉得我以前用过这样的东西。
我们主要关注的是垃圾邮件过滤器抓取丢失的密码电子邮件。如果这些邮件的格式有最好的做法，那也会是一件很棒的事情。
任何想法吗?
感谢克雷格
几乎所有的安全性都依赖于以下三种方式的不同组合
- <
- Crypto-graphic证明/gh>
- 共享秘密
- 可信第三方
并使用它们表示给定的可能性水平来验证当前交易中的对手方是与您拥有原始合同的同一方。
这就是"网络身份"的全部含义——现在和我说话的人有多大可能是我昨天介绍认识的人?例如，密码是一个共享的秘密，双方都知道，并在给定的可能性水平上假设拥有这个秘密的另一个人就是他们认为的那个人。
这个比较容易。
安全问题(母亲的娘家姓)只是第二个密码，以防你忘记第一个密码。
OpenID是一种可信的第三方方法。Stackoverflow信任谷歌。我试着登录stackoverflow和SO把我交给了谷歌。我所看到的是谷歌回来说"是的，他是"。
然而，与电子邮件渗透相比，OpenID几乎没有被使用，所以它不能作为恢复选项。
电子邮件密码重置是一个直接共享秘密的例子，涉及一个受信任的第三方- gmail是由双方"信任"，所以一个人可以发送一个共享秘密到gmail，并相信在给定的可能性水平，只有另一方将能够访问共享秘密。
最后，密码学可以用作可信的第三方。如果我知道你的公钥，我就可以"信任"RSA，并通过加密存储新密码，然后把它放在我的网站上。只有你可以阅读它，所以它可以作为一个即时的，在线密码重置。但是PGP/GPG的渗透比OpenID差得多，这个想法是不可能的(*)
你需要的是你在签订合同时收集的第二个通信渠道——通常是电子邮件，它可以是开放的，一个手机号码或他们的GPG公钥。但是你必须在签订初始合同时收集该通道。
说到手机，我确实在当地的手机店里看到了一个整洁的手机——他们给我发了一个随机密码，然后销售助理把密码送到我的手机上，然后输入密码——证明手机的主人在商店里，并且是合规的。(对于给定的可能性水平)。
(*)实际上我认为有一个解决方案- http://www.itmanagerscookbook.com/Attitude/identitycrisis.html。正如你所看到的，试图表达上述概念是一个持续的努力。
我所知道的唯一安全的替代方案是在安全问题(母亲的娘家姓，但最好是用户可配置/更安全的东西)之后提供密码重置页面。