La premessa di questa domanda è un po 'errata perché implica che esiste una risposta "taglia unica". Questo non è il caso. L'autenticazione deve soddisfare sia i requisiti dell'applicazione che l'utente. Alcune applicazioni / dispositivi richiedono più protezione di altri. Allo stesso modo, alcuni utenti hanno bisogno di più protezione di altri.
Penso che l'approccio migliore sia quello di consentire una gamma di opzioni e consentire all'utente di scegliere l'opzione che preferiscono. Lo svantaggio di questo approccio è che alcune persone andranno semplicemente con il metodo più semplice e più conveniente. Tuttavia, la risoluzione di questo problema riguarda in realtà l'aumento della consapevolezza dell'utente. È improbabile che forzare una soluzione lungo la linea "We know best" ottenga un grande sostegno e frustrerà alcuni utenti che sono in grado di valutare la propria esposizione al rischio in modo appropriato e trovano la soluzione imposta inopportuna o fuori dalla norma.
Per scopi di autenticazione su un dispositivo generale, come un telefono, è probabilmente necessario coprire i tre approcci principali, ovvero qualcosa che l'utente conosce (ad es. password), qualcosa che l'utente ha (es. token, possibilmente hardware generato da un dongle o Codice SMS ecc.) E qualcosa che l'utente è biometrico - impronta digitale, impronta vocale, ecc. Tuttavia, la chiave sarebbe consentire all'utente di selezionare se desidera solo una password / pin o una combinazione. Mia figlia di 15 anni probabilmente vorrà solo una spilla, ma va bene così come tutto ciò che usa davvero per il suo telefono è facebook. D'altro canto, lavoro in sicurezza, ho accesso a dati sensibili e voglio più protezione, quindi potrei andare con biometrico, password e token.
Per applicazioni specifiche, l'approccio dovrebbe essere simile, ma può essere semplificato. Un'applicazione ha un profilo di utilizzo più definito. Ciò significa che è possibile effettuare una valutazione più accurata dei rischi per la sicurezza. Se l'applicazione ha pochi dati sensibili e basso 'beneficio' per individui non autorizzati, allora un semplice pin o password potrebbe essere sufficiente. Con l'aumento dei rischi, è necessario aumentare l'intervallo di metodi di autenticazione disponibili. In alcuni casi, quando la sensibilità dei dati supera una certa soglia, è possibile applicare uno standard minimo.
L'altra cosa da considerare è la formazione degli utenti e le soluzioni disponibili per rendere un po 'più semplice questo. Ad esempio, potrebbe essere opportuno incoraggiare l'uso di un'applicazione di gestione password. Ciò può ridurre l'impatto / inconveniente della digitazione di password lunghe / complesse su uno schermo di un piccolo dispositivo mobile. È possibile che si disponga di un'app di gestione delle password a cui si accede una volta all'inizio di una sessione e da quel momento in poi, ogni volta che si accede a un sito / un'applicazione che richiede una password, il gestore della password inserisce i dettagli per conto dell'utente. Alcuni di quelli migliori forniscono anche supporto per 2 fattori e sistemi biometrici. Ovviamente non c'è un proiettile d'argento, ma possono affrontare alcuni dei disagi associati all'autenticazione con un piccolo aumento del rischio, che potrebbe essere compensato attraverso l'uso di password più casuali e più forti ecc.