当我需要给某人发送密码的时候，我通常会通过某个通道（邮件，IM等）和密码本身发送除密码（即服务器和用户）以外的所有信息（没有解释什么是密码）通过短信。
这是可以接受的还是有更好的方法？
预期收件人可能需要重复请求，如果他们没有得到消息。 但是，您应该考虑到人们在手机上收发电子邮件和即时消息是相当普遍的，所以沟通可能不像您想象的那样分离。 考虑到也可能从电话发起请求，但并不是那么安全。
虽然我分享了其他记者的一些关注，但我也注意到实用主义的论点。
我必须向其他国家的人发出很多密码。 我不认识他们; 我无法面对面接触他们; 每次我都不能让快递员递交密码; 邮政邮件的延迟（也不是保证的个人对个人服务）被认为是不可接受的。
那么系统pipe理员要做什么？ 我必须以某种方式获取密码，否则无法login。
所以有一段时间我已经和你一样做了。 我需要每个validation的新密码（或更改）请求的GSM电话号码，并且我将密码短信给那个号码; 用户名，系统地址等全部通过他们用来logging请求的售票系统的电子邮件。 我已经添加的唯一的皱纹是预先过期的密码，这需要在第一次login时更改。 在Linux上，我使用chage -d 0 username设置密码，在Solaris上用passwd -f username 。
这意味着这个标记如果被公开的话不是无限的可重用的; 遇到丢弃文本消息的黑帽子只会知道密码曾经是什么。 这也意味着，如果别人首先得到它，我会发现它，因为合法用户在黑帽到达之后将不能login并首先更改它。
现在还不完美，还有一些办法可能会失败，但是我还没有find更好的办法。 任何人？
我想你可能会对这种做法有多么普遍而感到惊讶，而且现实情况是很多情况下可以接受的。 但是，正如你显然已经怀疑的那样，这远非理想。
理想情况下，通信应该使用某种forms的预共享秘密进行encryption，但当然这种秘密的共享存在问题。 PGP / GPG是一个很好的解决scheme。 过去这是相当普遍的做法，但据我所知，这些日子并不多，尽pipe我不明白为什么。 我上次查看GPG是免费提供给所有主要平台的。
你应该有办法确保你的记者是唯一知道密码的人：
您还需要一种方法来知道以前的某个点是否没有发生，并且在这种情况下，可以禁用对受保护资源的访问。
如果可以接受，则取决于您希望保护的资源。 如果你只是想保护你上个假期的照片，而你只是担心他们不能被互联网上的search引擎自由地看到，但需要一个密码来访问它，这可能不如访问你的机密文件重要公司。
非对称encryption（如RSA）可能是最安全的方法。
您的朋友向您发送您将用于密码encryption的公钥。 然后，你的朋友使用私钥解密它。
我遇到过这种痛苦，决定build立一个简单的工具来解决这个问题： http : //tanin.nanakorn.com/labs/secureMessage
它使用Javascript来做RSAencryption。 因此，您的密码永远不会离开您或您的朋友的机器。 而且，当你离开页面时，这些键被破坏。
一个警告是，如果你离开页面，你会失去你的私人密钥…所以这个工具可能会更好地发送密码通过IM（而不是电子邮件）
可能要考虑某种forms的双因素authentication。 先前的身份validation回复完全有意义，并且是有效的关注点。
我有时做的另一个select是拍摄一个书面密码的图片，可以使用彩信或其他任何东西。 在您可能试图避免的rootkit /恶意软件的情况下，“检测”并不容易。