Wenn ein Benutzer sein Konto gefunden hat (also seinen Benutzernamen und seine ID kennt), aber sein Passwort nicht weiß (und keine 1FA-Authentifizierungsmethode wie CTAP2 hinzugefügt hat), kann er die E-Mail-Adresse des Kontos nicht einfach durch Anhängen von .json an die entsprechende Profil-URI ermitteln.
Folglich: Wie können sie ein Passwort-Reset anfordern, wenn das Passwort-Reset-Formular eine E-Mail-Adresse erfordert und keinen Benutzernamen akzeptiert?
Können sie nicht in ihren verschiedenen E-Mail-Konten nach der Forum-Domain suchen? Wie viele E-Mail-Adressen haben sie denn? 
Wenn alles andere versagt…
a**********t@*****.com zu senden? Manchmal reicht das schon zur Hilfe (aber es gibt auch ein wenig Information preis, also ist das vielleicht nicht gewünscht)Mitarbeiter können die E-Mail-Adresse sehen, mit der sich ein Benutzer registriert hat. Die Mitarbeiter können dem Benutzer seine E-Mail-Adresse mitteilen, damit dieser sich anmelden kann.
Die E-Mail-Adresse ist im JSON nicht sichtbar. Tatsächlich ist sie sogar für Mitarbeiter recht gut versteckt (d. h. hinter der Schaltfläche „Anzeigen“) und wird, wenn ich mich recht erinnere, in den Mitarbeiterprotokollen protokolliert.
Ist das möglich?
@awesomerobot und @NateDhaliwal, das Problem bei diesen Ansätzen ist, dass ich kürzlich genau das auf community.openAI.com erlebt habe, weil ich einen E-Mail-Alias-Dienst nutze, wie das heutzutage viele tun. Es wäre jedoch noch schlimmer, wenn man seine E-Mail-Adresse lediglich sub-adressiert hätte, was eine gängige Praxis ist, da das kaum zu merken wäre. [1] Leider gibt es keine Kontaktmöglichkeit zu den Moderatoren, was bei vielen Discourse-Instanzen der Fall ist und ein weiteres Problem darstellt.
Wäre ich nicht in der Lage gewesen, meine E-Mail-Adresse wiederzufinden, wäre ich aufgeschmissen gewesen.
Es akzeptiert jedoch einen Benutzernamen.
Das erste Formularfeld fragt nach E-Mail oder Benutzername.
Der Link unter dem ersten Feld funktioniert, unabhängig davon, ob du die E-Mail oder den Benutzernamen eingegeben hast.
Der Link Passwort vergessen funktioniert ebenfalls für Benutzername oder E-Mail, es sei denn, die Administratoren haben die Site-Einstellung E-Mail-Adresse als vergeben verbergen aktiviert.
Auf der OpenAI-Website erfordert das Formular für „Passwort vergessen“ eine E-Mail, aber auf einer anderen Website, bei der diese Einstellung deaktiviert ist, ermöglicht das Formular die Eingabe des Benutzernamens:
Es sei denn, ich habe deine Anfrage missverstanden, klingt es so, als würden wir bereits das unterstützen, was du anforderst.
@southpaw, also ist die Möglichkeit, einen Benutzernamen während des Passwort-Reset-Vorgangs zu akzeptieren, eine Einstellung, die sie deaktiviert haben? Ich frage, weil ich dort folgendes sehe:
Wenn dem so ist, sollte das vielleicht deutlicher kommuniziert werden, zum Beispiel mit:
Diese Discourse-Instanz hat den Passwort-Reset über den Benutzernamen deaktiviert.
Allerdings beobachte ich hier dasselbe:
Ich verstehe nicht, warum das Formular, von dem du einen Screenshot gepostet hast, anders aussieht als das, was ich hier sehe.
Ich bin sicher, du wirst zustimmen, dass die Verhinderung der Weitergabe deiner E-Mail-Adresse an Dritte eine der obersten Prioritäten der Seite sein muss. Zu diesem Zweck gibt es eine Site-Einstellung, die Administratoren aktivieren können, um eine zusätzliche Schutzschicht zu bieten, indem sie keine Hinweise gibt, wenn jemand versucht, eine E-Mail-Adresse zu erraten, bis er bestätigt, dass er eine registrierte Adresse gefunden hat. Eine der Nebeneffekte dieser Site-Einstellung ist, dass das Formular zum Zurücksetzen des Passworts den Benutzernamen nicht akzeptiert.
Das Beispiel, das ich gegeben habe, stammt von einer Seite, bei der diese spezifische Einstellung deaktiviert ist.
Die beiden Beispiele, die du gegeben hast, stammen von Seiten, bei denen diese spezifische Einstellung aktiviert ist.
Das ist der Grund, warum du einen Unterschied beobachtest.
Ich bin neugierig, wie diese zusätzliche Information, über die Tatsache hinaus, dass das Formularfeld keinen Benutzernamen akzeptiert, deinen Weg zur Wiederherstellung deines Kontos erleichtert hätte?
@southpaw, ich bin überrascht, dass dies notwendig sein muss, denn die meisten Websites umgehen dieses Problem, indem sie einfach nicht anzeigen, ob eine Passwortanfrage erfolgreich war. Stattdessen gibt der Benutzer eine E-Mail-Adresse oder einen Benutzernamen ein, und wenn er eine Nachricht erhält, hat er gültige Anmeldeinformationen eingegeben.
Da viele Discourse-Instanzen verschiedene Versionen von Discourse nutzen, hätte ich, wenn ich auf einer anderen Website die Möglichkeit zum Zurücksetzen des Passworts beobachtet hätte, wahrscheinlich angenommen, dass OpenAIs Instanz eine ältere Version ohne das Wort „Benutzername“ am Ende der Zeichenfolge betreibt. Folglich hätte es mich vor diesem Abenteuer bewahrt.
Ah ja, das ist ein vernünftiger Anwendungsfall… obwohl ich mir vorstellen kann, dass ein E-Mail-Alias-Dienst doch einige Aufzeichnungen darüber führen sollte, welche Aliase wo verwendet wurden? Apples Dienst tut das, aber ich habe keine Erfahrung mit anderen, um das sicher zu sagen.
Vielleicht wäre es sinnvoll, eine Feature-Anfrage zu stellen, damit der Benutzername für Passwort-Resets immer erlaubt wird? Wenn andere auf dieses Problem stoßen, könnten wir das in Betracht ziehen.
Das stimmt. Wenn du einen Dienst nutzen und weiter nutzen möchtest, liegt es in deiner Verantwortung, zu wissen, welche E-Mail-Adresse du verwendet hast. Wenn du das vergisst, musst du ein neues Konto erstellen. Die Alternativen sind allesamt viel schlechter. Du könntest den Admin per E-Mail kontaktieren (der seine E-Mail-Adresse jedoch nicht veröffentlicht, sodass du ein neues Konto erstellen musst, um ihn zu erreichen) und dann sagen: „Äh, ich habe ein Konto mit einer E-Mail-Adresse erstellt, die ich nicht kenne. Ich kann nicht beweisen, dass ich sie besitze, da ich nicht weiß, was sie ist.“ Oder du könntest fragen: „Ich habe den Benutzernamen secret123 erstellt, ich habe vergessen, welche E-Mail-Adresse ich verwendet habe, kannst du mir das sagen?“
Wenn du paranoid genug bist, um zufällige E-Mail-Adressen zu verwenden, bist du paranoid genug, einen Passwort-Manager zu nutzen, der die Informationen für dich speichert. Andernfalls bist du im Pech.
@pfaffman, ich habe es nicht vergessen. Vielmehr hat OpenAI seine SSO-Integration willkürlich getrennt und diese stillschweigend durch eine E-Mail-Adresse ersetzt, die vom OpenAI-Konto des Nutzers geerbt wurde, und dabei kein Standard-Passwort hinterlegt. Wie @awesomerobot vermutete:
…tatsächlich tut dies (Addy) auch, obwohl ich in diesem Fall lediglich diejenige verwendet habe, die noch mit meinem OpenAI-Konto in meinem Passwortmanager verknüpft war.
@pfaffman, es sei denn, ich missverstehe, was als rein humorvoll gemeint sein könnte, schätze ich deine Vermutung, dass dies auf Inkompetenz zurückzuführen war, nicht, und insbesondere nicht, dass ich paranoid sei, nur weil ich E-Mail-Middleware verwende.
Um das letztere Attribut zu erläutern: Ich nutze den Alias-Dienst zur E-Mail-Triage, da ich als Notfallretter für St John Ambulance und als Küstenrettungsbeamter für die HM Coastguard arbeite und Vertrauensmann sowie Ausschussmitglied für mehrere nationale und lokale Wohltätigkeitsorganisationen (einschließlich Crimestoppers Trust und Neighbourhood Watch Network) bin, wobei ich häufig mit [dem Büro von] der Polizei [und dem Polizeikommissar] für das County, in dem ich lebe, in Kontakt trete. Zusätzlich landet all dies in demselben E-Mail-Posteingang, in den auch meine FOSS-Arbeit, meine persönlichen Kommunikationen (wie SAR-Anfragen) und meine Sicherheitsbenachrichtigungen gehen. Folglich ist die Möglichkeit, diese zu trennen, um Prioritäten zu setzen, für mich unglaublich wichtig.
Meine vorherigen Posteingänge, bevor ich einen Alias-Dienst nutzte, waren von gezielten Phishing-Versuchen privater und nationaler Akteure gleichermaßen überschwemmt. Seit ich diesen nutze, hat die Möglichkeit, zu kontrollieren und zu analysieren, wer welche E-Mail-Adresse an wen weitergegeben hat, es mir ermöglicht, die Menge dieses Spams auf kaum 2 % des bisherigen Umfangs zu reduzieren.
Betrachte, dass Herablassung eine niedrigere Form von Witz ist als selbst Sarkasmus.
@awesomerobot, danke. Ich habe eine erstellt:
Das klingt wirklich nach einem Chaos.
Es klingt so, als hättest du wichtige Aufgaben, die die Privatsphäre und Sicherheit anderer Menschen betreffen, was dir deutlich mehr Gründe gibt, paranoide Gedanken zu hegen, als die meisten von uns. Und ich denke, wir alle haben Gründe, paranoid zu sein. Die meisten von uns sind, aus der Sicht eines alten Mannes, meiner Meinung nach viel weniger besorgt, als sie es sein sollten.
Mein Punkt war, dass du, wenn du die Kontrolle über deine E-Mail-Adresse verlierst, damit rechnen solltest, dass es schwierig oder unmöglich sein wird, wieder Zugang zu allem zu erhalten, was mit dieser Adresse verknüpft war. Die Alternative wäre, dass jemand anderes die Kontrolle über dein Konto übernehmen könnte, unabhängig davon, ob du selbst noch die Kontrolle darüber hast.
Mit anderen Worten: Das Einzige, was schlimmer ist, als nicht mehr auf dein verlorenes Konto zugreifen zu können, ist es, wenn jemand anderes darauf zugreifen kann – besonders wenn du wichtige Aufgaben hast, bei denen es darum geht, die Privatsphäre anderer Menschen zu schützen.
Aber vielleicht gibt es einen sicheren Weg, dein Konto zurückzugewinnen, ohne dass dabei jemand anders auf der Welt das Gleiche tun könnte. Das ist ein sehr schwieriges Problem. Vielleicht schlägst du eine sichere Lösung vor, die ich nicht verstehe.
Ich wollte niemanden beleidigen.
Dieser Satz klingt so, als hätten die Administratoren die Einstellung von ihrem Standardwert geändert. Die Einstellung ist jedoch standardmäßig aktiviert: Hiding "e-mail taken" on sign-up by default. Daher ist sie aktiviert, es sei denn, die Administratoren deaktivieren sie explizit.
Das ist ein ausgezeichneter Punkt, der auch (offensichtlich) bedeutet, dass die Eingabe des Benutzernamens im Passwort-Wiederherstellungstool standardmäßig deaktiviert ist. Daher mag ich den Feature-Request jetzt noch mehr, aber ich darf nur einmal abstimmen.
@pfaffman, die Verwendung einer IETF RFC 5233-Subadresse, die von Microsoft/Outlook und GMail/Google Workspace unterstützt wird, führt ebenfalls zu diesem Problem, falls die Adresse nicht gespeichert ist.
Ich habe sie jedoch in meinem Passwort-Manager gespeichert, und mein Alias-Tool ermöglicht es mir, sie ebenfalls zu durchsuchen:
Moment. Ich habe übersehen, dass der Bildschirm zum Zurücksetzen des Passworts nicht mehr nur den Benutzernamen akzeptiert. Das ergibt nur Sinn, wenn Benutzer mit Passwortzurücksetzungen belästigt werden, und ich dachte, es gäbe Rate-Limiting-Maßnahmen, um das zu verhindern. Ich frage mich, welches tatsächliche Problem diese Änderung beheben sollte.
Und ich weiß auch aus Erfahrung, dass es in einer langjährigen Community nicht so ungewöhnlich ist, dass Benutzer ihre E-Mail-Adresse nicht mehr erinnern können.
Also… meine Tirade darüber, dass man wissen sollte, mit welcher Adresse man sich registriert hat, ist völlig falsch. Ich war ein Arschloch und ich entschuldige mich demütig.
Und jetzt, da ich denke, ich verstehe dein Problem, und es wird von den Eigentümern einer Community, in der du bist, scheinbar absichtlich verursacht. Während es teilweise die Schuld der neuen Standardwerte sein mag, denke ich, dass diese Leute den Wert von hide_email_address_taken ändern können…
Moment. Warum würde hide_email_address_taken Benutzer dazu zwingen, ihre E-Mail-Adresse und nicht ihren Benutzernamen einzugeben? Das Zurücksetzen des Passworts mit dem Benutzernamen gibt keine E-Mail-Adresse preis. Das ist das eigentliche Problem.
Es gibt mehrere Schichten dieses Problems, die ich nicht verstanden habe. Es tut mir leid, dass ich so unhilfreich war.
Ich habe gerade meinen hinzugefügt. Das kann noch verbessert werden 
@pfaffman, ich bin eigentlich ganz froh, dass es mich dazu gezwungen hat, das näher auszuführen. Deine Verwirrung entspricht auch meiner; unsere Denkprozesse waren identisch!
Während ich verstehe, dass einige Benutzer mit Passwort-Reset-Anfragen überschwemmt werden könnten, wäre es für sie, diese Anfragen in einen separaten Ordner zu filtern, mit IETF RFC 5228 auf ihrer Seite, nicht undurchführbar, wenn sie so überschwemmt werden, dass die Ratenbegrenzung unzureichend ist.
Hi,
Das ist vielleicht etwas unangebracht, aber ich habe mich gefragt, ob für dieses Problem eventuell
wenn du deine E-Mail-Adresse vergessen hast, du deinen Benutzernamen eingeben könntest und dann die zugehörige E-Mail-Adresse angezeigt wird? Das birgt zwar ein gewisses Risiko, falls jemand E-Mail-Adressen einsehen möchte, aber vielleicht könnte die E-Mail-Adresse gehasht werden. Wenn ich dort hingehe, würde es nach E-Mail oder Benutzername fragen, ich gebe dann „ice.d“ ein und es zeigt die zugehörige E-Mail-Adresse wie jh*nd**@gmail.com[1] an. Oder du könntest einen Button namens „Zugehörige E-Mails der Community anzeigen“ haben, der Konten von dieser IP-Adresse auflistet. Dann würde es die Geräte-IP verwenden und falls dieses Gerät ein Konto auf dem Forum hat, für das du das Passwort zurücksetzen möchtest, würde es eine E-Mail-Adresse wie j*on***@gmail.com anzeigen?
Könnte das hilfreich sein?
Nicht meine echte E-Mail ↩︎
