在考虑中间人攻击时，密码恢复链接是否比纯文本密码传输更安全？

Question

考虑到this paper 和简单的常识：为什么后者比前者更容易受到攻击？

我的意思是，如果我们有窃听的情况，那么两种情况之间的区别是什么：

• 纯文本：黑客请求恢复密码，获取密码，获得对帐户的访问权限
• 恢复链接：黑客请求恢复密码，捕获链接，使用它，获得对帐户的访问权限

我知道我们根本不能将密码存储为纯文本，但假设我们无法控制这部分——这种情况有什么不同吗？

Answer 1

有以下好处：

1. 用户在没有收到明文密码时会感到更安全（即使它们保存在服务器上）
2. 一次性链接可确保用户更改密码（并且可能愿意将其放在某个地方或使用一些可以记住的密码）
3. 最后但可能是最重要的 - 使用链接方法，黑客将不得不更改密码，并且用户可以通过看到他无法再登录来检测他的帐户已被破坏。