mail yollama da güvenlik mantıgı ek bir şifre ihtiyacıdır. yani kullanıcı şifremi unuttum dediğinde bu mail adresine sen güvenebilirsin o maile giriyorsa bu hesap onundur diye. Ama günümüzde akıllı telefonların büyük blümünde mai senkronizasyonu açık tuttuğumuz için zaten o telefonu eline geçiren şifremi unuttum dediğinde mail uygulaması notificaiton düşürüyor. Yani zaten aslında dolaylı yoldan senin yaptığının aynısını yapıyor. Yapabilirsin bence bir açık olmaz ama şuna dikkat et kullanıcı adı ve mail adresini girip şfiremi unuttum dediğinde bunu syleyen telefon id si ile sende o kullanıcının telefon id si aynı olmalı olsun. Demek istediğim şu; mağdur un bilgileri tel id : 10 kullanıcı adı: kul mail : kulmail@mail.com çalmaya çalışan kişi tel id 10 dan farklı doğal olarak kul ve kulmail@mail.com adreslerini girdiğinde 10 nolu tele gitsin notification. I am Jack's inflamed sense of rejection

Hayir sifrelemiyorum. Ilk defa mysql ve socketli bir uygulama gelistirdigim icin baslangicda basit tutmayi dusunuyorum.

Yorumlariniz icin tesekkurler. Isin icine webi katmak istemiyorum acikcasi. Yani bir web sitesi yapmak istemiyorumki web tasarim bilgimde yok. Uygulama uzerinden islemleri yapmak istiyorum. Baska bir projede gonderilen mailler spama dusuyordu yada iletilemiyordu. Serverin ipsini birisimi kullaniyormus karalistedemiymis oyle bir sorun vardi. Bu yuzden bildirim sistemi ile sifre hatirlatmayi dusundum. Birseyler deneyeyim egerki saglam bir sistem olusturursam konuyu gunceller sizlerede bilgi veririm.

Connected2. me mantığında bir uygulama geliştirmekteyim. Uygulamaya kayıt olurken kullanıcı adı, mail adresi ve şifre girmesi gerekiyor. Uygulama içerisinde kişilerin sadece kullanıcı adı bilenecek. Bende diyorumki şifre hatırlatma kısmı için mail veya sms gndermek yerine push notification gndereyim. Mesela şifremi unuttum kısmına girdiğinde mail adresini ve kullanıcı adını yazacak. Daha sonra server o telefona "Şifreniz xxxx" tarzında bildirim yollayacak. Arkadaşlar güvenlik açığı olur diyor ama karşıdaki kişinin sadece kullanıcı adını biliyor olacaksınız. Email adresini bilmediğiniz sürece size bildirim gelmeyecek. Bu konu hakkında grüşlerinizi almak istiyorum. Edit : Kayıt olunan mail ile telefondaki mailide karşılaştırabilirim. Ya da cihaz idsini alırım. Birşeyler yaparım ama yapıcam bunu. Sizce nasıl olur? h0rtl4kk tarafından 06/Tem/17 01:55 tarihinde düzenlenmiştir

Adam şifresini unuttuğunda push-notification ile one-time-password yollasana adam onunla girip şifresini değiştirsin Mühendis kahveyi projeye dnüştüren bir insan evladıdır.

Hocam uygulaman snifflenip push ettiğin kısım çzülebilir. Fcm ile gnderiyorsun farzedelim bu kez kayıt olduğu kanal taklit edilebilir. Yani byle bir şey sıkıntı. Ama daha farklı bir şey düşünebilirsin bildirim ile. iyibu! yeniden..

adama parolasını plain-text oalrak mı gndereceksin? dbde parolaları şifrelemiyor musun

Adam şifresini unuttuğunda push-notification ile one-time-password yollasana adam onunla girip şifresini değiştirsin Hocam bu bile tehlikeli oluyor. Sen tek seferlik şifre vermen ile normal link veya şifreyi gndermen aynı muhabbete çıkıyor sonuçta şifre havada tek kullanımlık bile olsa. Benim yaptığım sistemimde SMS var sms ile doğrulama kodu gnderiyorum Gelen doğrulama kodunu O an APP de bulunan url tıkladktan sonra tekrar yazıyor içerisine eğer doğru ise yeni şifre girişi isteniyor. Şeklinde. Sende bunun gibi birşeyler kurgulayablirsin. Ama BlackApple'nin dediği gibi db de şifrele şifreleri Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

Hayir sifrelemiyorum. Ilk defa mysql ve socketli bir uygulama gelistirdigim icin baslangicda basit tutmayi dusunuyorum. Uygulamayı ne kadar basit tutuyorsanız tutun hocam ama parolaları şifrelemeden veritabanında tutmak mantıksız bir hareket olur. Kesinlikle parolalar geri dndürülemez şekilde hashlenerek tutulmalı, kontroller bunun üzerinden yapılmalı. Parolasını unutan kullanıcı için "Parolanız xxxx" yerine "Parola sıfırlamak için tbt.com/bir_süre_sonra_işlevsiz_hale_gelecek_benzersiz_ve_tahmin_edilemez_link" şeklinde bir url ile halletmenizi tavsiye ederim. Asıl sorunuz için de yalnızca e-posta adresine güvenerek parola sıfırlama linkini gndermek iyi bir tercih olmayacaktır. Ben, e-posta adresini bildiğim her kullanıcının parolasını sıfırlayabilirim bu şekilde. Bildirim gnderilen kişiyi kesin bir şekilde doğrulayabiliyorsanız push notification mantıklı olabilir. Everyone sees just what they want to see.