Ho letto molto tempo fa questo articolo su come potrebbe funzionare un Password- meno Sistema di autenticazione, che mi sembrava un'ottima idea. L'ho persino creato in una piccola e divertente piccola applicazione per divertimento.
Per citare l'articolo, ecco come funziona:
Here’s how passwordless authentication works in more detail:
Instead of asking users for a password when they try to log in to your app or website, just ask them for their username (or email or mobile phone number).
Create a temporary authorization code on the backend server and store it in your database.
Send the user an email or SMS with a link that contains the code.
The user clicks the link which opens your app or website and sends the authorization code to your server.
On your backend server, verify that the code is valid and exchange it for a long-lived token, which is stored in your database and sent back to be stored on the client device as well.
The user is now logged in, and doesn’t have to repeat this process again until their token expires or they want to authenticate on a new device.
Quindi cosa ne pensate voi ragazzi? È davvero un'alternativa realistica all'autenticazione basata su password?
Modifica
Come è stato affermato, il furto del telefono consente di accedere alle e-mail e agli SMS, il che comprometterebbe questo sistema. Ma sarebbe anche il caso dei sistemi basati su password, in cui è possibile fare clic sul link "Password dimenticata" per ricevere l'e-mail per modificare la password e potrebbe anche aver installato Google Authenticator. Quindi, a mio parere, il furto del telefono è un punto debole per la ENTRAMBI di password e sistemi senza password.
Forse la domanda avrebbe dovuto essere:
Do password-less authentication add risk scenarios that aren't present in password-based authentication systems?