Пишу на С для микроконтроллера.
Пользователь через терминал может подключиться к прибору и конфигурировать параметры, загружать скрипты и.т.д. Понятно если придет кто то со стороны он может нанести вред. Решил поставить пароль. Изначально мастер-пароль находиться во флеш, пользователь заходит по мастер-пароль и меняет пароль на свой и мастер-пароль затирается, на его место запишеться новый пароль..
Вопрос что делать если пользователь забыл пароль?

Можно каждому прибору присвоить уникальный пароль. Но если пароль был компроментирован - как быть тогда?

x1ca4064jenya7 Но если пароль был компроментирован - как быть тогда?
Если прошивка закрыта, можно создать процедуру сброса пароля: МК генерирует случайное число, пользователь сообщает его Вам, Вы его шифруете ключем, которые известен Вам и МК, пользователь сообщает присланное Вами число и новый пароль МК, МК меняет пароль.
Лучше хранить не сам пароль, а его хеш (например, несколько тысяч SHA-xxx или md5 от пароля).

я понял. неплохой вариант. единственный минус - пользователь привязан ко мне. это нехрошо ни для него ни для меня.

Akinajenya7Изначально мастер-пароль находиться во флеш, пользователь заходит по мастер-пароль и меняет пароль на свой и мастер-пароль затирается, на его место запишеться новый пароль..
Вопрос что делать если пользователь забыл пароль?
Паролей должно быть минимум два. Или полагаешь, что даже на какую-то вшивую симку, цена которой две копейки, а замена - дело 15 минут, PUK-код от нефигом заняться придуман?

Первый - меняй хоть сто раз. Второй - одноразовый, для экстренного восстановления. Предполагающий, что после его использования контроллер в кратчайшие сроки заменяется на такой же, но с неиспользованным вторым кодом, и отправляется производителю для перепрошивки и установки нового экстренного кода.
А тот, кто понадеялся на авось, протянул время и просрал пароль второй раз, тебя не должен волновать в принципе. На любой его взвизг ты отвечаешь констатацией злостного нарушения условий эксплуатации.
ну как это. утерял код - все давай до свидания? :) я думаю так делать нельзя. какой пользователь захочет связываться с таким прибором.

и потом второй пароль - он уникальный для каждого прибора?

я хотел придумать какой то алгоритм, чтоб пользователь не был связан со мной. я вот что придумал.
допустим пользователь знает какое то личное кодовое слово.
например имя и год рождения (свое имя и год рождения он наверняка не забудет) – например igor1985. он забыл пароль, вводит свое кодовое слово и система генерит ему новый пароль по какому нибдь random key и показывает ему на экране.
Это и будет мастер пароль по которому он может записать в систему свой.