最近，我订阅的一家（SIP 中继服务提供商）向我发送了一封奇怪的电子邮件。它声称另一个国家的某人试图重置我的帐户密码，但未能成功回答我的安全问题。
提供商对此事件的回应是重置我的密码。
尊敬的顾客，
我们收到了从 IP 地址 41.174.96.79 重置帐户“myusername”密码的请求，但输入的安全问题无效。
作为安全预防措施，我们已将您的帐户密码设置为：roRy1391
登录后，系统会提示您立即更改密码。
（这封电子邮件原来是真实的，我能够成功登录并更改密码。）
在我看来，对此类事件的适当反应是让提供者什么都不做。毕竟，如果这个攻击者已经获得了我的电子邮件帐户的访问权限怎么办？然后他会收到这封电子邮件，并且无论如何都可以访问我的帐户。
但是，有一个可能的缓解因素。每当从新 IP 地址登录时，此提供商始终要求回答安全问题。理论上，如果攻击者能够访问此密码重置电子邮件，这也将阻止此攻击。
这是提供者方面的适当行动吗？如果不是，他们应该怎么做，当我对他们大喊大叫时我应该说什么？
这是对安全的绝对破坏。即使他们的策略在某种程度上是合理的，在电子邮件中以明文形式向您发送密码也意味着重置是无用的，正如您所说，如果攻击者可以访问您的电子邮件，安全问题就不会蹲下。
他们应该什么都不做，因为回答的安全问题是无效的。恕我直言，最好的办法是更进一步，阻止用户在规定的时间内回答问题。通知您是正确的步骤，但更改密码只会使其无用。
我会问他们一个简单的问题：“如果我/其他人猜错了安全问题，你要向我（或假装是我的人）发送密码，那么安全问题的意义何在？ ？”
不，这不是来自 ISP 的适当回应。攻击者试图重置密码，这说明攻击者不知道当前密码，实际上甚至没有尝试猜测它。强制重置该密码不会带来任何好处：它试图准确修复身份验证系统中未被破坏的部分。
如果重置密码没有任何好处，但它会带来很多伤害。电子邮件中的明文密码很少是一个好主意。
这种情况看起来像是“下意识的安全立场”的一个很好的例子：当有疑问时，恐慌。
（您的 ISP 真的选择了以“Rory”开头的密码？这会触发我的“傻瓜游戏”感。）
我能想到的唯一一种情况是，像这样更改密码具有安全意义的是，如果用户在尝试更改密码时登录了您的帐户。
在这种情况下，您以前的密码可能会被泄露，因为登录的人知道该密码，但不知道您的安全问题的答案。
这不是好的做法。我会有点怀疑 SIP 提供商实际上已受到损害，但希望通过可能不够清晰/诚实或有点模棱两可来挽回面子或减少整洁宣传的可能性。基本上，在尝试失败后更改密码绝对没有意义。通过电子邮件向您发送新密码甚至更少。如果是我，所有这些加起来就是寻找新的 SIP rpvider。