问：我们的企业想要创造一个更安全的密码重设系统。我知道有些企业可以通过短消息服务（SMS）来发送密码提示信息。那么在不买新产品的情况下，有没有办法在我的企业设置这样的功能呢？

　　答：如果你有一个电子邮件系统，假设用户已经注册了他们的电话号码和运营商，那么你可以通过向短信服务设备发送信息来创建一个密码重置程序。这中间的问题是：你如何确定一个用户的密码是否即将过期，以便发送一个提醒？

　　假定可以捕获这个过期信息，你只需在电子邮件客户端里创建一个不超过160个字符的纯文本邮件，并把它发送到运营商电子邮件域里的手机号上就可以了。美国主要的手机运营商使用以下格式：10_digit_number@cell.carrier_domain.com，主题和邮件正文字符数限制为160个（两者之和）：

　　下面是一些无线运营商广泛使用的短信电子邮件地址：

　　运营商发送电子邮件给

　　Alltel @message.alltel.com
　　Cingular/AT&T @txt.att.net
　　Nextel @messaging.nextel.com
　　Sprint @messaging.sprintpcs.com
　　SunCom @tms.suncom.com
　　T-Mobile @tmomail.net
　　VoiceStream @voicestream.net
　　Verizon @vtext.com

　　请记得：邮件中的邮件签名也包含在这160个字符里。

　　此外，值得注意的是，在几次登录尝试失败以后，不要创建一个通过短信发送密码提示信息的系统，因为你不能保证用户的系统和电话总是分离的。如果用户的笔记本包和笔记本电脑一起丢失了，捡到它的人有可能会试图登录用户的帐户。经过三次失败的尝试以后，如果电脑包里的电话接到一个新的密码重置信息，那么攻击者就会很轻易地成功登录笔记本。

　　还有最后一点，短信密码重置系统提供了一个带外（out-of-band）的通信方法来联络终端用户。这种方法比大多数机构正在使用的典型带内（in-band）方法更安全，因为带内方法就好像是问一系列安全问题，而问题的答案却很容易在用户的Facebook或LinkedIn资料中找到。但是，短信密码重置也离不开以下几个方面，包括用户的手机是否能够接收短信、用户是否具有良好的载波信号、用户的手机是否有电并且可以操作使用、用户的手机是否在他（或她）手中而不是落在其他地方。任何一个方面出问题都有可能导致密码重置失败。