갑자기 discourse에서 누군가가 내 비밀번호 재설정을 요청했다는 메일을 받았습니다. 영화를 보고 있을 때 그 메일이 와서 무서웠습니다. 즉시 비밀번호와 인증 키를 변경했습니다.
부탁입니다, 이 문제를 확인해 주실 수 있나요? 무섭습니다.
걱정할 일은 아마 없을 것입니다. 누군가가 가입 로그인 양식의 “비밀번호를 잊으셨나요?” 링크를 클릭하고 양식에 사용자의 이메일 주소를 입력하면, Discourse는 해당 사용자의 이메일 주소로 그 메시지를 보냅니다:
누구나 양식에 어떤 이메일 주소를 입력해도 막을 수 있는 방법은 없습니다. 이는 웹에서 잊어버린 비밀번호를 처리하는 표준적인 관행입니다. 이 기능에 내장된 보안 장치는 비밀번호 재설정 이메일이 양식에 입력된 이메일 주소로만 발송된다는 점입니다. 따라서 이메일을 트리거한 사람이 해당 이메일 수신함에도 접근할 수 없다면, 사이트 접근 권한을 얻을 수 없습니다.
다만, Discourse 계정에서 2단계 인증을 활성화하는 것을 고려해 보시는 것이 좋습니다. 이는 누군가 우연히 당신의 이메일 계정에 접근하게 되는 경우를 대비하여 추가적인 보안 계층을 제공합니다. Discourse 계정의 보안 페이지에서 2단계 인증을 활성화할 수 있습니다. 설정하는 데 어려움이 있다면, 여기서 도움을 받을 수 있습니다.
이 문제에 대해 HackerOne에 연락할 필요는 없을 가능성이 큽니다. HackerOne은 Discourse에서 반복적으로 재현 가능한 취약점을 발견한 사람들을 위한 것입니다. 당신이 겪고 있는 상황은 “비밀번호를 잊으셨나요?” 양식의 예상되는 기능이라고 생각합니다.
수정: 당신은 사이트 관리자입니까? 그렇다면 당신의 이메일 주소가 site contact username(사이트 연락처 사용자 이름) 설정에 지정되어 있을 수 있습니다. 그 이메일 주소는 사이트의 정보(About) 페이지에 표시됩니다. 누군가가 그곳에서 쉽게 가져갈 수 있습니다. 이상적으로는 모든 사이트 스태프가 자신의 Discourse 계정에서 2단계 인증을 활성화해야 합니다.
빠른 답변 감사드립니다. 말씀하신 대로인 것 같습니다!
회원가입 페이지는 없고 로그인 페이지만 있습니다. 로그인 페이지 바로 위에 제 이메일 주소를 표시하는 짧은 메시지가 있는데, 누군가 그 이메일 주소를 이용해 비밀번호 재설정 링크를 만든 것 같습니다. 정말 영리하네요! 이메일 주소를 변경했고, 이제 어떤 계정에도 연결되어 있지 않습니다.
정말 감사합니다! 이런 일이 발생했을 때, 찰나의 순간에 수많은 가능성을 떠올리며 모든 결과를 고려해 보았습니다.
2단계 인증은 처음부터 켜져 있었습니다.
다행히 오인(誤認)이었으며, 그 점이 기쁩니다. 그리고 진심으로 Discourse가 만든 놀라운 플랫폼에 감사의 뜻을 전하고 싶습니다. 이 플랫폼을 사용하게 되어 매우 기쁩니다!! 
그런 이메일은 늘 조금씩 불안하게 만들거든요, 그래서 그 마음은 이해합니다.
실제로 제 답변에 오타가 있었습니다. “비밀번호를 잊으셨나요?” 링크는 가입 모달이 아니라 로그인 모달에 있으므로, 아마도 해당 링크를 클릭해서 양식을 열었을 가능성이 높습니다.
정말 좋습니다!
기술적으로 비밀번호 재설정을 요청할 때 계정 이메일을 알아야 할 필요는 없다고 봅니다. 사용자 이름만 있으면 되니까요.
사용자 이름이 공개되어 있다면, 누구나 비밀번호 찾기 양식에 해당 이름을 입력하여 이러한 이메일을 받을 수 있을 것입니다.
이메일 수신이 안전하게 관리되는 한 보안상의 위험은 없습니다.
누군가에게는 생명을 구할 수 있는 기능일 수 있지만, 동시에 심장마비를 유발할 수도 있다고 생각합니다.
사용자 이름별로 이 기능을 비활성화할 방법이 있을까요?
그렇다면 이를 위해 추천하는 단계가 있을까요?
Gmail과 Hotmail을 제외한 mail.ru, alibaba 등 무료이거나 신뢰할 수 없는 이메일 서비스는 사용하지 마세요. 무료나 기타 신뢰할 수 없는 Wi-Fi를 사용할 때는 강력한 비밀번호와 VPN을 사용하세요. 일반적인 보안 조치입니다.
하지만 이것은 Discourse와는 전혀 관련이 없습니다.
저는 애플 사용자이고 iCloud+에 가입되어 있습니다. iCloud+에는 개인 릴레이(기본적으로 VPN) 기능이 제공됩니다.
또한, iCloud의 키체인에 저장된, 매우 강력하고 긴 비밀번호를 사용하고 있습니다.
이 정도면 충분한가요?
Jakke가 언급했듯이 메일 서비스마다 다릅니다. iCloud는 비교적 안전한 편이지만, 저는 그 부분에 대해 전문가가 아닙니다.
보통 2단계 인증 옵션이 있습니다. 이 경우 로그인 시 비밀번호와 물리적 보안 키 또는 인증 앱에서 생성된 인증 코드가 모두 필요합니다.
이 메시지는 메시지를 요청하지 않았다면 걱정할 필요가 없다는 뜻인 것 같습니다. 맞나요?
메타(Meta)의 비밀번호 재설정 이메일은 다음과 같이 작성되어 있습니다:
“누군가가 귀하의 비밀번호를 재설정해 달라고 요청했습니다. 귀하가 요청한 것이 아니라면, 이 이메일을 무시하셔도 됩니다.”
아마도 사이트별로 다른 내용을 표시하도록 커스터마이즈할 수 있을 것입니다.
비밀번호 재설정 옵션에서는 이메일 접근 권한을 잃은 경우 디스코urs(Discourse) 스태프에게 연락하라고 안내하고 있으며, 해당 과정이 어떻게 진행되는지는 알지 못합니다.
관리자는 여기서 (거의) 모든 텍스트를 변경할 수 있습니다. admin > customize > text로 이동하기만 하면 됩니다.
이 텍스트가 다소 일반적인 표현이지만, (거의) 모든 포럼에 적용할 수 있습니다. 단순히 상황이 그렇기 때문이 아니라, 새 비밀번호를 요청하는 것 자체가 어떤 형태의 보안 위험이 되지 않기 때문입니다. 다만, 이 일이 꽤 자주 발생하면(며칠 전 인스타그램에서 있었던 것처럼) 다소 귀찮을 수 있습니다.
도움이 많이 되셨어요, 감사합니다!!