E-Mails werden irgendwo gespeichert, egal ob auf einem Mailserver oder auf einem PC. Telefonanrufe sind normalerweise nicht möglich, es sei denn, es handelt sich um eine kundenorientierte Umgebung.

Diese Richtlinie ist üblich, wenn Benutzernamen und Kennwörter über separate Kanäle gesendet werden.

Es spielt keine Rolle, welche Kanäle verwendet werden, solange die Authentifizierungspaare aufgeteilt und über verschiedene Methoden gesendet werden.

Dies ist die akzeptierte bewährte Methode, da es viel schwieriger ist, die richtigen zwei Kanäle abzufangen, als einen Kanal zu beobachten, damit das Authentifizierungspaar einfach vorbeikommt.

Die Gründe dafür sind nicht nur Kennwortänderungen Wenn Sie ein Passwort vergessen haben, aber der Verdacht besteht, dass ein Konto kompromittiert wurde. Aus diesem Grund werden Kennwortänderungen "außerhalb des Bandes" vorgenommen, um sicherzustellen, dass Kennwortaktualisierungen nicht einfach erfasst werden können.

In der Welt der IT-Sicherheit geht es manchmal nicht darum, vollkommen sicher zu sein. Es ist akzeptabel, nur so hart zu sein, dass Angreifer es woanders versuchen.

E-Mails werden möglicherweise (wie @Luc hervorhebt, nicht immer) im Klartext über das Internet gesendet. Dies bedeutet, dass sie möglicherweise von Ihrem E-Mail-Anbieter, Ihrem ISP, dem ISP Ihres Empfängers, dem E-Mail-Anbieter Ihres Empfängers oder einem der dazwischen liegenden Netzwerkgeräte protokolliert werden. Als Absender haben Sie auch keine Kontrolle darüber, wer der Person beim Öffnen der E-Mail über die Schulter schaut.

Mit einem Telefonanruf haben Sie mehr Kontrolle darüber, ob Sie mit der richtigen Person sprechen Person, sie können sich weigern zu antworten, wenn sie sich an einem öffentlichen Ort befinden usw. Außerdem gibt es zwar keine Garantie dafür, dass es nicht aufgezeichnet wird, aber zumindest gibt es eine gute Chance - im Gegensatz zu E-Mails, bei denen die Wahrscheinlichkeit, dass sie sich in einigen befinden, zu 100% besteht Datenbank irgendwo.

Selbst wenn sowohl die E-Mail- als auch die Telefongespräche aufgezeichnet werden, ist es um Größenordnungen einfacher, eine E-Mail-Datenbank nach "Passwort" zu durchsuchen als nach Sprachaufzeichnungen.

Best Practices sagen dies jedoch Eine und nur eine Person sollte das Passwort für ein Konto kennen, und das ist die Person, die das Konto besitzt. Der Administrator sollte es nicht wissen, noch sollte der Server (dh das gehashte Passwort).

Der übliche Weg, dies zu tun, wäre: Wenn das Passwort kürzlich (für einen bestimmten Wert von kürzlich) abgelaufen ist, hat der Benutzer Sie können ihr altes Kennwort verwenden, müssen jedoch sofort nach der Authentifizierung (vor dem Anmelden) ihr Kennwort ändern und die Verbindung sofort trennen. Wenn das Kennwort vor einiger Zeit abgelaufen ist, kann der Administrator das abgelaufene Kennwort für einen kurzen Zeitraum (z. B. 10 Minuten) als "kürzlich abgelaufen" markieren. Der Administrator muss nicht wissen, wie dieses Kennwort lautet. Wenn der Benutzer sein Kennwort vergessen hat, kann der Administrator ein Kurzzeitkennwort (z. B. 10 Minuten) eingeben, das auch eine sofortige Änderung des Kennworts erzwingt.

Auch wenn ein Benutzer im letzten Jahr sein eigenes Kennwort geändert hat Sie sollten von der Änderung ausgenommen sein (bis genau 1 Jahr nach ihrer letzten Änderung).

Die Theorie, dass ein Passwort einmal pro Jahr geändert werden sollte, ist in den meisten Fällen ebenfalls äußerst zweifelhaft - wenn es sich um ein Passwort handelt kompromittiert, wird es in der Regel sofort maximal ausgenutzt. Nur einem Angreifer "nur" 6 Monate Zugriff (im Durchschnitt) zu gewähren, erscheint ziemlich sinnlos (oder "nur" 6 Tage). Dies deutet auf eine 2-Faktor-Authentifizierung hin, wobei der zweite Faktor jedes Mal eindeutig ist (Google Authenticator, OTP, OPIE, Challenge-Response usw.), wenn die Ressource geschützt werden sollte.

Ein Administrator sollte das Kennwort eines Benutzers nicht kennen, wenn dies vermieden werden kann. Bei Bedarf sollten sie die Möglichkeit haben, mit ihrem EIGENEN Kennwort ein anderer Benutzer zu werden, das dann in ein Überwachungsprotokoll geschrieben wird. Dies ist besonders wichtig, wenn es mehrere Ebenen von "Administratoren" gibt (dh wenn es Personen gibt, die Kennwörter ändern können, aber das Überwachungsprotokoll nicht beeinflussen).

Kleinere Verschleierungen (wie Sicherheit durch Audio, Bild usw. ) sind gefährlich, weil sie Selbstzufriedenheit ohne Sicherheit fördern.

In einem sicheren System sollten von der IT bereitgestellte Kennwörter nur temporäre, nur einmal verwendete, zufällige Zeichenfolgen sein, sodass der Benutzer sie sofort eingeben und in sein eigenes neues geheimes Kennwort ändern muss. Die IT sollte niemals das "echte" Passwort eines Benutzers kennen oder übertragen.

Benutzer müssen vor dem Zurücksetzen überprüft werden. Dies ist viel einfacher per Sprachanruf, Stellen einer Frage, Erhalten einer Antwort, Fertigstellen.

Auch wenn die Temperatur. Das Passwort wird bei einem Anruf mitgehört, es würde keine Zeit für die Verwendung geben. E-Mails werden jedoch manchmal für einige Zeit vernachlässigt, bevor sie gelesen werden, sodass ein Angreifer die Chance hat, das Schlimmste zu tun.

Zusätzlich kann ein aufgezeichneter Sprachanruf verwendet werden, um festzustellen, ob sich ein Benutzer später imitiert hat. Sie können jedoch nicht feststellen, wer auf einen geöffneten E-Mail-Bildschirm oder einen Remote-E-Mail-Server geschaut hat.

Meine 10-jährige Erfahrung liegt in einem Umfeld von Finanzinstituten, sodass dieses Sicherheitsniveau möglicherweise nicht wirtschaftlich gerechtfertigt ist, wenn die Sicherheitsanforderungen weniger streng sind. Das Bezahlen von IT-Stellen ist teuer und die meisten Systeme / Apps werden ohnehin webbasiert geschützt, sodass die Tage des Zurücksetzens von IT-Passwörtern per Sprache in jedem Fall gezählt werden.

Die Sicherheit einer E-Mail ist schwer festzustellen. Die E-Mail wird höchstwahrscheinlich in Archiven aufbewahrt (für bestimmte Unternehmen gibt es sogar einige Vorschriften). Unter diesem Gesichtspunkt ist es daher eine schlechte Idee, ein Passwort in einer E-Mail zu senden. Es kann auch zu einem Abfangen von E-Mails kommen.

Telefon hingegen wird mit geringerer Wahrscheinlichkeit aufgezeichnet, es kann jedoch zu einem Abfangen oder Aufzeichnen von Telefonen kommen. Es ist also keine so gute Idee. Ich habe einen Kommentar gelesen, dass Festnetzanschlüsse schwerer zu erreichen sind als Computersysteme - ich würde dem nicht zustimmen. Das Aufnehmen einer herkömmlichen Telefonleitung ist viel einfacher als das Hacken eines Remote-Servers. VOIP-Telefone erfordern eine neue Technik, sind aber auch nicht so schwierig - schließen Sie einen Hub an, verbinden Sie Ihren PC mit einem Port des Hubs, und Sie haben jetzt eine Kopie aller Pakete, und die VOIP-Decodierungssoftware ist im Überfluss vorhanden. Es ist wahrscheinlich schwieriger, ein Handysignal abzufangen, aber ich weiß nicht, habe es nicht getan.

Ein (möglicherweise wahrgenommener) Vorteil der Verwendung des Telefons über die E-Mail ist die Zusicherung, die Sie geben das Passwort für die Person, der Sie das Passwort geben möchten. Als Systemadministrator, der Kennwörter zurücksetzen muss, kann ich dies bestätigen. Wenn Sie eine E-Mail senden, wissen Sie nicht wirklich, wer am anderen Ende ist. Es kann sich um eine gefälschte E-Mail, ein entführtes Konto usw. handeln. Wenn Sie die Person kennen, können Sie die Stimme der Person erkennen. Sie können einige Fragen stellen, um die Authentizität zu überprüfen (Sie können dies auch per E-Mail tun, aber es besteht ein Sicherheitsgefühl, wenn Sie dies über das Telefon tun).

Jetzt muss ein Administrator ein Kennwort festlegen, das das Kennwort bleibt und nicht zuzulassen, dass der Benutzer sein eigenes Passwort festlegt, ist meiner Meinung nach eine wirklich schlechte Praxis, da diese Faktoren jetzt übertragen werden müssen und alles, was übertragen wird, für immer das Passwort sein wird.

Gibt es mehr in der Richtlinie? In vielen Organisationen geben sie telefonisch ein neues Passwort, müssen jedoch die Stimme der Person kennen und eine Frage beantworten (wer ist Ihr Chef, wann war Ihre letzte Bewertung).

Es ähnelt einem Multi-Faktor-Authentifizierungsprozess.

Die Logik, die ich verwende, wenn ich darauf bestehe, das Passwort per Telefon oder Text zu senden, ist die Tatsache, dass es sich um einen zweiten Kanal handelt.

Selbst bei all den oben beschriebenen Unsicherheiten bei E-Mails, wenn die E-Mail mit gesendet wurde nur das Passwort darin, es gibt nicht genügend Informationen für böswillige Verwendung. Wenn Sie jedoch eine E-Mail abfangen, die eine ähnliche Bedeutung wie "Ihr Kennwort für Konto xxx im Dienst JJJ wurde in zzz geändert" hat, haben Sie alles, was Sie für den Zugriff auf das Konto benötigen.

Im Moment ist es viel einfacher, eine E-Mail abzufangen. Dies kann sich in Zukunft ändern, aber vorerst:

• E-Mails sind so konzipiert, dass sie für beliebig lange Zeiträume gespeichert werden. Sie können davon ausgehen, dass mindestens ein, wenn nicht mehrere Server alle Daten gespeichert haben.
• E-Mails sind einfacher zu verarbeiten. Das Identifizieren von E-Mails mit Passwörtern ist relativ einfach. Es ist schwieriger, sie in Telefonanrufen zu identifizieren. Wenn ein Gegner zuhört, ist es offensichtlich trivial, das Passwort zu erfassen. Das Abhören erfordert jedoch mehr Ressourcen.
  • Irgendwann wird die KI dies viel einfacher machen. Dies scheint derzeit jedoch nicht der Fall zu sein.

Es hängt wirklich von Ihrem Bedrohungsmodell ab. Wie wertvoll ist dieses Passwort? Ich würde davon ausgehen, dass die Bankausweise eines Milliardärs besser geschützt sind als diese oder Verschlusssachen, aber je kleiner diese sind, desto mehr Ressourcen werden investiert, um die Informationen in den Vordergrund zu rücken.

Der Hauptgrund für einen Telefonanruf ist, dass Telefonanrufe immer noch anfällig für Social-Engineering-Angriffe sind, bei denen ein Anrufer eine vertrauenswürdige Person überreden kann, ihnen Zugriff zu gewähren

Auf dem Telefon habe ich ein automatisiertes Menü ausgewählt, um Hilfe beim Anmelden bei meinem Konto zu erhalten. Die Kundendienstmitarbeiterin Christine war sehr freundlich und fragte mich nach meiner E-Mail-Adresse und meiner Privatadresse, um mit mir zusammenzuarbeiten und Zugang zu meinem Konto zu erhalten.

Ich denke, wir haben unser Problem gefunden… Christine brauchte nur diese zwei Informationen, um mich auf mein Konto zu bekommen? Kein Passwort? Kein Handy? Keine andere Information? Was hindert jemanden daran, meine E-Mail-Adresse und Privatadresse aus einer Datenbank zu finden und anzurufen, um mein Konto zu übernehmen?

Damit niemand Ihre E-Mail (möglicherweise unverschlüsselt) abspüren kann, aber alles, was ich brauche, ist ihre Telefonnummer und ein paar Informationen über Sie und ich könnten dies tun

Hallo, das ist Chris Cirefice. Ich habe mein VPN-Login wieder verloren. Ich hätte schwören können, dass ich es aufgeschrieben habe. Kannst du mir ein neues geben? Wow, das wäre großartig, lass mich einen Stift und Papier holen ...

Es gibt mehrere gute Antworten, warum das Senden von Passwort = -wert- in einer E-Mail schlecht ist.

ABER

Niemand erwähnt dies, wenn das Passwort einfach genug ist, um es einfach zu machen per Sprache kommuniziert werden, ist wahrscheinlich nicht komplex genug, um effektiv zu sein, und die empfangende Partei wird wahrscheinlich auf ein Blatt Papier schreiben ...

Verwandte XKCD # 936: Kurzes komplexes Passwort, oder lange Wörterbuch-Passphrase?

E-Mails werden im Allgemeinen nicht gespeichert, es können jedoch auch Funksignale gehackt und Festnetzanschlüsse abgehört werden. Der beste Weg, dies zu tun, ist mit einer https-Website.