Wie generieren Sie die 25-stellige Zeichenfolge, die Sie in die URL aufnehmen? Ist es völlig zufällig oder basiert es auf der aktuellen Zeit oder der E-Mail des Benutzers? Es sollte zufällig und nicht erraten sein.

Sie sollten sicherstellen, dass die Überprüfungsseite tatsächlich gerendert wird (nicht nur, dass eine GET-Anforderung aufgetreten ist). Browser wie Chrome (und Antivirenprogramme) laden häufig URLs, ohne dass der Benutzer explizit darauf klickt, um sie vorab abzurufen oder aus Sicherheitsgründen zu scannen.

Dies kann zu einem Szenario führen, in dem ein böswilliger Schauspieler (Eve) mithilfe der E-Mail-Adresse eines anderen (Alice) ein Konto erstellen möchte. Eve meldet sich an und Alice erhält eine E-Mail. Alice öffnet die E-Mail, weil sie neugierig auf ein Konto ist, das sie nicht angefordert hat. Ihr Browser (oder Antivirenprogramm) fordert die URL im Hintergrund an und aktiviert versehentlich das Konto.

Ich würde JavaScript auf der Seite verwenden, um die tatsächlich gerenderte Seite zu überprüfen, und außerdem einen Link in die E-Mail einfügen, über den Benutzer melden können, dass sie dieses Konto NICHT erstellt haben.

Hinzufügen zur Antwort des Daisetsu (da ich noch keine Kommentare schreiben kann).

Es wäre nicht schlecht, ein Formular zu erstellen und den Benutzer zu bitten, ein Passwort zu erstellen. Auf diese Weise müsste der Benutzer ein neues Passwort eingeben und nach dem Absenden wird das Konto aktiviert. Es würde die Antiviren-Hintergrundprüfung lösen.

Die URL sollte so lang sein, wie es sich um eine zufällige Zeichenfolge handelt. Es besteht nur eine sehr geringe Wahrscheinlichkeit, dass Sie zwei Schlüssel mit demselben Inhalt gleichzeitig haben.

Das Überprüfen der IP-Adresse ist nicht gut, da einige ISPs möglicherweise IP-Adressen wechseln, sodass Sie jemanden blockieren, der sich registrieren möchte, dies aber nicht kann.

Ihre E-Mail sollte einen Aktivierungscode und keinen Link enthalten. Sie sollten keinen Link für die Kontoverwaltung in einer E-Mail senden. Wenn Sie (die legitime Partei) E-Mail-Links (insbesondere mit langen Zeichenfolgen) an Benutzer senden, ist es etwas schwieriger, legitime E-Mails von Phishing-Versuchen zu unterscheiden.

Der Aktivierungscode sollte aus bestehen Zeichen, die leicht kopiert und eingefügt werden können (keine Leerzeichen, '+', '-' usw.) und die auch leicht manuell eingegeben werden können. Buchstaben und Zahlen funktionieren. Die Sicherheit des Aktivierungscodes hängt davon ab, dass er nicht vorhersehbar ist. Sie leiten den Wert mithilfe des sicheren Zufallszahlengenerators des Systems ab, genau wie Sie es mit Sitzungs-IDs für Cookies tun sollten.

Aktivierungscodes sollten in einer Datenbanktabelle gespeichert werden, jede Zeile mit einer Profil-ID, die Aktivierung Code ^{* sup> und die Ablaufzeit. Sie möchten die Profil-ID oder die Ablaufzeit nicht in ein Cookie, eine URL oder den Aktivierungscode einfügen. ** sup> Ein böswilliger Benutzer könnte die ID manipulieren, um ein anderes Konto zu übernehmen. Sie müssen diese Dinge serverseitig überprüfen, da Ihre Sicherheitsrichtlinie Client-Daten nicht blind vertrauen kann.}

Der Aktivierungscode sollte über eine POST-Anforderung gesendet werden. Leiten Sie Benutzer automatisch zur Kontoaktivierungs-URL um (die nur https://example.com/security/activate sein kann), wenn Sie mit dem Rest der Registrierung fertig sind. Erleichtern Sie den erneuten Zugriff auf die Kontoaktivierungsseite, falls diese versehentlich geschlossen wird.

Sie möchten nicht, dass eine GET-Anforderung eine Aktion ausführt. Ein Link wird möglicherweise ohne Benutzerinteraktion besucht (aufgrund von Browser-Prefetching oder E-Mail-Sicherheitsdiensten). Darüber hinaus können durch das Einfügen von Geheimnissen in eine URL vertrauliche Daten verloren gehen. (Über Empfehlungsheader oder Browser-Addons.)

Machen Sie sich keine Sorgen um die IP, sie kann sich dennoch ändern. (Gleiches gilt für User Agent.)

Ich weiß nicht, ob eine Stornierungsfunktion wünschenswert ist. Ich verwende die Links zum Abbestellen nicht einmal in unerwünschten E-Mails, da hiermit möglicherweise festgestellt werden kann, ob mit einer E-Mail-Adresse ein Mensch verknüpft ist oder nicht. Wenn der Aktivierungscode lang genug ist, um roher Gewalt zu widerstehen, oder wenn Sie die Anzahl der Aktivierungscodeversuche begrenzen, sehe ich keinen Schaden darin, den Aktivierungscode irgendwann ablaufen zu lassen.

Andererseits Es könnte hilfreich sein, die Anzahl unerwünschter E-Mails zur Kontoaktivierung zu reduzieren. Sie können die Anzahl der E-Mails, die Sie an eine Adresse senden, begrenzen, um höflich zu sein. Sagen Sie maximal 3 pro Tag und maximal 5 pro Monat. (Ich weiß nicht, ob das zu hoch oder zu niedrig ist.) Als Nichtbenutzer würde ich E-Mails von Ihrer Website einfach automatisch löschen oder automatisch als gelesen markieren.

Es gibt viele Variablen, die für unerwünschte Aktivierungs-E-Mails berücksichtigt werden müssen. Höchstwahrscheinlich hat dies mehr mit der Benutzererfahrung als mit der Sicherheit zu tun. Sie können sogar die Funktion "Aktivierung abbrechen und niemals E-Mails an diese Adresse senden, da ich mich nie registrieren werde" bereitstellen. Dies hat jedoch offensichtliche Probleme. (Sie müssen auch noch die E-Mail-Adresse der Person überprüfen.)

_{* Es tut nicht weh, den Aktivierungscode zu hashen. Wie bei Kennwörtern ist auch das Hashing nicht kritisch, da jeder Code einmalig verwendet wird, keine privaten Informationen enthält, vom Server zufällig generiert wird und abläuft. Sub>}

_{** Sie könnten Manipulationen mit einem kryptografischen MAC tatsächlich verhindern, aber ich würde den meisten Entwicklern dringend davon abraten, dies zu versuchen. Kryptographie ist schwer zu finden. Sub>}

Wie bei allem, wo Sie Sicherheitspraktiken anwenden, müssen Sie die Gefährdungs- und Bedrohungsbewertung für Ihre einzigartige Umgebung und Ihren Anwendungsfall bewerten. Die vorhandenen Antworten bieten zahlreiche Berührungspunkte für diese Auswertung sowie Hinweise für Dinge, die vermieden werden sollten, z. B. durch GET ausgelöste Aktionen. Stattdessen werde ich mich mehr auf den "Benutzer" -Teil der UX konzentrieren. Ich werde auch auf viele der auf der Seite verstreuten Kommentare eingehen.

Genau das, was Sie mit der durch E-Mail ausgelösten Aktion "überprüfen", ist ebenfalls ein zu berücksichtigender Faktor. Wenn Sie lediglich bestätigen, dass es sich um eine gültige E-Mail-Adresse handelt, ist fast jede Aktion ausreichend. Das Überprüfen der E-Mail, der Absicht, ein Konto zu erstellen, und der Tatsache, dass der Benutzer, der die E-Mail erhält, der Benutzer ist, der die Kontoerstellung initiiert hat, erfordert etwas mehr Aufwand.

Eine "Anstrengung" sollten Sie nicht muss jedoch das Versenden von Erinnerungs-E-Mails übernehmen. Angenommen, der Benutzer hat das Konto absichtlich erstellt, eine gültige E-Mail-Adresse verwendet und möchte das Konto für jeden Zweck verwenden, den Sie Konten anbieten. Er sucht nach der E-Mail und führt den Aktivierungsprozess durch, sobald er dazu in der Lage ist. Der Link, der Code oder was auch immer läuft möglicherweise ab, bevor sie ihn verwenden, wenn sie während des Wartens auf die E-Mail von anderen Angelegenheiten abgelenkt werden. In solchen Fällen ist es in Ordnung, ihnen zu erlauben, die Bestätigungs-E-Mail erneut zu senden. Eine Erinnerungs-E-Mail ist jedoch viel eher ein Spam-Auslöser als ein Vorteil für den Benutzer.

Als Benutzer schätze ich es, Optionen zur Aktivierung / Überprüfung meines Kontos zur Verfügung zu haben. Der häufigste Optionssatz, auf den ich gestoßen bin, besteht darin, dass die E-Mail einen Link enthält, auf den ich entweder klicken oder & einfügen kann, und einen Bestätigungscode, den ich in ein Formularfeld auf einer Seite in meinem eingeben kann Bereich für Kontoeinstellungen auf der Website. Der Bestätigungscode ist selten etwas anderes als eine Ganzzahl mit einer Länge von 5 bis 9 Stellen.

Die Bestätigungs-E-Mails, die mir als Benutzer das größte Vertrauen geben, sind diejenigen, die einen krypto aussehenden Hash in der URL haben ( / verify? l = lgGS2SBjMTU4NjkwNjYxMjI5MDBhZDk2YjEyMzMzYjNhZmQxOb ) Seite einzigartig für mich, wo ich dann das Passwort eingeben muss, mit dem ich das Konto erstellt habe. Die Verwendung des Hashs bestätigt, dass der Link in einer E-Mail empfangen wurde, die nicht erraten oder brutal erzwungen wurde, und überprüft somit, ob die E-Mail gültig ist. Durch das Bereitstellen dieser eindeutigen Seite vor allen anderen Aktionen kann der Server die E-Mail, an die er gesendet wurde, als "gültig" markieren, ohne die Kontoerstellung zu bestätigen. Die Eingabe des Kennworts bestätigt, dass sich am anderen Ende ein Akteur befindet, im Gegensatz zu Antiviren-, Malware-Erkennungs- oder Pre-Fetch-Vorgängen. Die Gültigkeit des Passworts bestätigt mit hinreichender Sicherheit, dass der Empfänger der E-Mail und der Ersteller des Kontos dieselbe Person sind.

Die vorgeschlagene Frist von 30 Minuten scheint ein wenig zu sein schwerwiegend, während ein Zeitraum von 24 Stunden möglicherweise zu lang ist, wenn Ihre Bedrohungsanalyse darauf hinweist, dass Ihre Exposition innerhalb von 24 Stunden nicht akzeptabel ist. Ich glaube, dass 2 Stunden für fast jede Benutzerumgebung ausreichen sollten. Insbesondere dann, wenn die Möglichkeit zum erneuten Senden der Überprüfung verfügbar ist. Selbst wenn Sie ein mobiles Gerät mit einer 14-kb / s-Verbindung zu einem Remote-POP-Konto verwenden, sollte der Austausch innerhalb von 120 Minuten abgeschlossen sein.

Die Verwendung von JS zur Überprüfung menschlicher Handlungen kann problematisch sein. JS kann deaktiviert werden und ist viel häufiger als viele Webentwickler gerne wissen würden. Zweitens können Werbeblocker JS pro Site oder pro Quelle blockieren, selbst wenn JS im Browser aktiviert ist. Ich blockiere viele JS-Quellen, einschließlich der Analyseskripte von Google, auf globaler Basis und liste einige für Websites wie Stack Exchange auf, wo ich bereit bin, sie bei der Verwendung meiner Daten zu unterstützen.

Das Einfügen eines Links in die E-Mail oder auf die Bestätigungsseite zum "Kündigen" des Kontos ist eine Verschwendung. In der E-Mail ist dies tatsächlich kontraproduktiv, da dies darauf hindeutet, dass das Klicken auf einen Link zu einem Konto, das Sie nicht möchten, eine gute Idee ist. Stattdessen sollte die E-Mail die Angabe enthalten, dass das Konto nicht bestätigt und möglicherweise gelöscht wird, wenn Sie nichts tun. Ein Link zum Abbrechen auf der Bestätigungsseite ist noch schlimmer, da er schlechtes Verhalten belohnt. Ich erhalte häufig E-Mails als Teil eines alten Google-Snafu, die an ein anderes Google Mail-Konto weitergeleitet werden, und ich gehe davon aus, dass das Gegenteil auch für das andere Konto gilt. [Früher hat Google keine gepunkteten und nicht gepunkteten Benutzernamen zusammengeführt, daher sind mein gepunkteter Benutzername und die nicht gepunktete Version eines anderen Benutzers unterschiedliche Konten. Google wird jedoch gelegentlich ausrutschen und ich erhalte trotzdem eine E-Mail :(]

Wie eng Sie die "verifizierte" E-Mail-Adresse mit dem Aktivierungslink koppeln, hängt von Ihrem Anwendungsfall und Ihrer Bedrohungsanalyse ab. Ich bin leicht verärgert, wenn ich mein Konto nach dem Ändern der zugehörigen E-Mail-Adresse erneut validieren muss. Die Akzeptanz des Prozesses ist proportional zu meinem "Wert" des Kontos. Für mein Bankkonto, PayPal usw. akzeptiere ich zu 100%. Bei PcPartsPicker würde ich dies jedoch zu etwa 15% akzeptieren ein Prozess.

Ignorieren Sie die IP-Adresse und / oder den Benutzeragenten. In diesem Fall werde ich häufig Websites anzeigen und mithilfe meines Mobilgeräts ein Konto erstellen. Ich werde nicht , jedoch offene E-Mails darauf. Wenn ich ein Konto erstelle und erfahre, dass ich es irgendwie überprüfen oder bestätigen muss und E-Mail die angebotene Methode ist, werde ich Warten Sie, bis ich nach Hause komme, um die E-Mail auf meinem Desktop zu öffnen, wo ich sie überprüfen kann. Die IP und der Benutzeragent sind daher sehr unterschiedlich. Mein Passwort bleibt jedoch das gleiche, und das sollte ausreichen, um mich als ursprünglichen Kontoersteller zu verifizieren.

Denken Sie daran, dass E-Mails ungefähr so ​​sicher sind wie das Jumbo-tron auf dem Times Square Gehen Sie entsprechend vor.

Eine Bestätigungs-E-Mail benötigt nur wenige Dinge, um einigermaßen sicher und benutzerfreundlich zu sein:

1. Dem Benutzer muss klar sein, was los ist. Wenn erklärt wird, warum diese E-Mail empfangen wird (z. B. "... jemand hat das Konto BLAH auf unserer Website registriert, um dies zu bestätigen ..." ), werden die meisten dummen Fehler ausgeschlossen und das Fischen von E-Mails ziemlich gut vereitelt . Sie wissen hoffentlich, ob Sie gerade ein Konto bei einem Dienst registriert haben oder nicht (es sei denn, Sie sind vollständig dement). Es ist also keine Überraschung, eine E-Mail zu erhalten, die dies erklärt. Auf der anderen Seite sollte eine solche E-Mail, die weiß, dass Sie sich nirgendwo registriert haben, (hoffentlich) verdächtig genug sein. Wenn dies nicht der Fall ist und der Benutzer auf einen zufälligen Link klickt, der per E-Mail gesendet wird, können Sie sowieso nichts tun, ohne zu wissen, welche E-Mails Personen, die Sie nicht kennen, möglicherweise empfangen oder nicht erhalten.
2. Ein zufälliges (nicht sequentielles!) Token, das relativ lang ist (lang genug, um sicherzustellen, dass es nicht erraten werden kann und nicht kollidiert), wird an den Server zurückgegeben. Dieses Token wird zum Vergleich auch in der Datenbank gespeichert. Es spielt keine Rolle, wie lange es genau ist und welches Format es hat. Es muss nicht lesbar sein. Alles über 20 Zeichen (unter der Annahme einer Base64-Codierung) sollte funktionieren, aber ich würde 40 Zeichen verwenden, um sicherzugehen, da es Sie nicht wirklich etwas kostet. Eine 240-Bit-Pseudozufallszeichenfolge ist garantiert eindeutig und nicht erratbar. Der Einfachheit halber würde ich es tatsächlich zu einem Link machen, und der Link kann tatsächlich eine GET -Anforderung sein. Ja, Benutzer sollten nicht auf Links klicken, aber sie werden es trotzdem tun (Sie werden sie nicht unterrichten!). Auf der anderen Seite ist die Benutzererfahrung viel besser als das Kopieren und Einfügen einer dunklen Zeichenfolge.
3. Ein HTML-Formular mit einer Schaltfläche "Klicken zur Bestätigung", die die Daten erneut POST enthält. Dies garantiert, dass das spekulative Laden von URLs keine (unbeabsichtigten oder sogar böswilligen) Ereignisse zulässt. dass der Benutzer, dem die E-Mail-Adresse gehört, nichts davon weiß. Das Formular sollte eine angemessene Menge an Informationen enthalten, damit der Benutzer weiß, was los ist, und als letzte Chance, "WTF?" Falls der Benutzer dieses Konto nicht registriert hat.
   Wenn Sie sich Sorgen um Roboter machen, kann das Formular auf Wunsch ein "Ich bin kein Roboter" enthalten (ich persönlich Halten Sie dies für überflüssig, aber Ihr Kilometerstand kann variieren.
4. Ein angemessenes Ablaufdatum (oder eine angemessene Ablaufzeit). Was ist vernünftig? Niemand kann eine endgültige Antwort geben, die für alle gut ist. Ich würde sagen, dass alles von 4 Stunden bis zwei Tagen wahrscheinlich gut ist. Wenn Sie sich für etwas registrieren, erhalten Sie normalerweise Ihre Bestätigungsmail innerhalb von 5-10 Sekunden und sitzen vor dem Computer und warten darauf. Könnte länger sein, wenn Sie typische Unternehmens-E-Mails im Paranoia-Modus verwenden, die Minuten für das Scannen jeder externen E-Mail benötigen. Möglicherweise erhalten Sie einen Anruf oder müssen irgendwo in die Mitte gehen. Daher ist es kein Fehler, den Token für ein paar Stunden oder einen Tag gültig zu haben. Außerdem kann E-Mail verzögert werden (selten, aber es kommt vor).
   Andererseits macht es keinen Sinn, Speicherplatz zu verschwenden, indem Bestätigungs-Token (und das Blockieren von Kontonamen!) Wochenlang aufbewahrt werden , Monate oder Jahre. Dies verbraucht nicht nur vergeblich Ressourcen, sondern jemand, der dies nicht innerhalb von ein oder zwei Tagen bestätigt, wird es wahrscheinlich sowieso nie tun. Oder sie könnten sich einfach ein anderes Mal neu registrieren. Was wirklich nichts kostet.
ol>

Aus Ihrer Frage gehe ich von den folgenden Annahmen aus, und wenn eine davon ungültig ist, gilt dies auch für meine Antwort:

1. Der Benutzer registriert sich auf Ihrer Webseite und legt währenddessen den Benutzernamen / die E-Mail-Adresse und das Kennwort fest Registrierung
2. Die E-Mail-Überprüfung hat den Zweck sicherzustellen, dass sich der Benutzer mit einer richtigen E-Mail-Adresse registriert hat.
3. Die Aktivierung des Kontos ist das einzige, was die E-Mail-Bestätigung Mail-Link tut. Ein Zurücksetzen des Passworts oder andere solche Funktionen sind nicht zulässig. Grundsätzlich wird "UPDATE user SET enabled = true WHERE token =% 1" ausgeführt.
ol>

In diesem Fall ist Ihr Ansatz aus Sicherheitsgründen absolut in Ordnung. 25 Zeichen geben Ihnen genügend Sicherheit gegen zufällige Kollisionen und Brute-Force-Versuche, die einmalige Verwendung schützt vor Schnüffeln und ähnlichen Angriffen und das Einzige, was jemand erreichen kann, ist die Aktivierung eines Kontos.

Vielleicht möchten Sie Um die Benutzer-ID einzuschließen, wenn Sie aus Leistungsgründen viele Benutzer haben (UPDATE: nicht wirklich, siehe Kommentare unten) Wenn Sie den Benutzer anhand eines Zeichenfolgentokens finden, wird ein Tabellenscan durchgeführt, während Sie ihn anhand von finden ID und dann nur das Abrufen und Vergleichen der Zeichenfolge ist eine Indexsuche. Dadurch wird jedoch die Benutzer-ID angezeigt, die Sie möglicherweise ausführen möchten oder nicht.