È sicuro consentire agli utenti l'accesso multiplo a diversi browser e computer?

C'è una buona ragione per prevenire le connessioni concorrenti, se non sono necessarie ai tuoi utenti.

Una buona regola empirica è quella di non consentire più funzionalità di quelle necessarie. Se i tuoi utenti non connetteranno più di una sessione simultanea, non consentirebbero di ridurre il rischio di attacco (poiché un utente malintenzionato non sarebbe in grado di condurre il proprio attacco mentre l'utente ha effettuato l'accesso.)

Se, tuttavia, gli utenti potrebbero aspettarsi di utilizzare più sessioni, sarà necessario disporre di questa funzionalità.

In realtà, questa domanda si riduce a un problema di funzionalità - google sa che i loro utenti potrebbero aver bisogno di connettersi da più macchine / posizioni / browser allo stesso tempo, quindi si limitano a notificare altre sessioni, invece di proibirle.

Penso che tutte le risposte date finora siano tutte valide. Tuttavia non sono sicuro di essere completamente d'accordo. Prendi questo sito per esempio. Posso avere più sessioni aperte e loggate su stackexchange.com, questo rende security.stackexchange.com meno sicuro? Penso che i meriti di questo siano discutibili, e ci sono pro e contro per l'argomento. Anche se direi che qualsiasi aumento del rischio per la sicurezza dal concederlo è trascurabile.

Penso che il problema degli accessi multipli dipendenti dallo scenario sia meno una questione di sicurezza e più una questione di processo. Potrebbe aver senso non consentire più accessi dovuti a processi aziendali, ad esempio licenze. Ma in altri scenari può avere senso, ad esempio, aumentare l'usabilità. Sta a te come architetto decidere se l'aumento del rischio vale qualche beneficio percepito, o aumentare il lavoro per disabilitare più accessi.

Non credo che consentire a più utenti di connettersi sia vulnerabile agli attacchi. Se Gmail lo consente, sono sicuro che hanno pensato ai potenziali rischi;)

Ora, ciò non significa che la tua applicazione non sia vulnerabile, ma sarà più basata sul modo in cui hai sviluppato il processo di login (https, password con hash del database, ecc.)

Dato che hai menzionato che hai protetto la tua applicazione come indicato su quel post , hai notevolmente ridotto il rischio (non posso dire che sia sicuro al 100%, niente lo è).

Ora puoi aggiungere la stessa funzionalità di Gmail: Elencare tutte le sessioni connesse correnti per l'utente. In questo modo, se un account utente viene violato e vi si accede da qualche altra parte, sarà possibile vederlo, l'IP dietro di esso, ecc.

Non sarà più sicuro, ma fornirà sollievo per i tuoi utenti.

Penso che il problema e la preoccupazione siano realmente definiti dai dati e dai sistemi in questione. Se ogni accesso, consente la modifica (modifica) dei dati condivisi o la modifica in sistemi condivisi, avere più accessi dallo stesso utente è un problema.

Nel caso di gmail, i dati in questione sono individuali e non condivisi, quindi non è mai il caso. Se cambio la mia gmail in un accesso, mi sparo solo al piede.

Anche da un punto di vista della sicurezza ci sono alcune preoccupazioni che vorrei sollevare / prendere in considerazione:

1. Ogni volta che consenti accessi simultanei multipli, stai essenzialmente dicendo che hai connessioni non protette al tuo sistema. Se il computer su cui è in esecuzione il sistema non è correttamente protetto, quel "portale" è aperto e gratuito per chi non è l'utente corretto che abusa del login, quindi hai perso la tracciabilità e il ripudio del tuo sistema.

2. Naturalmente qualsiasi pagina attiva (a meno che non sia puro html) rappresenterà un "portale" di potenziali exploit che se un aggressore ha accesso all'attacco può quindi sfruttare per un'ulteriore escalation oltre l'autorizzazione dell'utente connesso. O ancora peggio può creare un portale per attaccare i sistemi dell'applicazione e i suoi dati sono ospitati su e sovvertire tutti i controlli e ottenere il pieno accesso ai "gioielli della corona", per così dire.

3. Finalmente non credere mai al tuo BS, non hai protetto la tua applicazione. Hai fatto del tuo meglio per proteggere la tua applicazione al meglio delle tue conoscenze in quel momento, altrimenti gli attacchi 0day non esisterebbero. Quindi non credere mai che la tua applicazione sia "sicura" e quindi, puoi fare qualcosa che sembra nominale come stai proponendo. Nessuna offesa intesa qui, ma è la verità. Sii sempre paranoico sulla sicurezza.