Passwort-vergessen absichern

(Copyright des Bildes siehe Credits)

Auf fast jeder Plattform, die mit Nutzern arbeitet, gibt es die Funktion des "Passwort vergessen". Mit dieser kann ein neues Passwort gesetzt werden. Vor kurzem habe ich für ein Projekt, bei welchem Sicherheit wichtig ist, eine solche Funktion umgesetzt. Dabei habe ich einige Mechanismen eingebaut, die ich vorstellen möchte. Dabei geht es mir primär nur um die Absicherung des Vorgangs.

Webhoster Security Fail

Gerne nutze ich die Möglichkeit für ein neues Projekt auch einen neuen Webhoster auszuprobieren. So bin ich schon bei so einigen Hostern gelandet und die Liste wächst. Besonders interessant finde ich immer wie das Webhosting auf Servern mit vielen Nutzern organisiert werden.

Vor kurzem habe ich einen Webhoster gestetet und habe festgestellt, dass bei der Konfiguration eines schief gelaufen ist. Das ganze schiebe ich an dieser Stelle mal auf den Admin und Plesk. Warum? Der Admin muss das System einrichten und überwachen. Und Plesk bietet gewisse Services an, die wiederum bspw. Log Dateien anlegen und damit für diese (irgendwie) verantwortlich sind. Und eigentlich darf ich von Plesk erwarten, dass es etwas wie einen Sicherheitscheck durchführt (Schreib- und Leseberechtigungen prüfen bspw). Ob Plesk nun schlecht ist oder gut, dies kann ich nicht sagen. Ich weiß nur, dass Plesk alleine nicht ausreicht um sicheres Webhosting zu betreiben.