Input della password osservabili

Non ricordo di aver sentito parlare di uno schema di autenticazione proposto in cui l'utente deve calcolare, in sostanza, una password monouso nella propria testa. Sono d'accordo con te sul fatto che la maggior parte degli utenti probabilmente non accetterà tale sistema, specialmente se è stato progettato con una sicurezza sufficiente per resistere alla possibilità di essere facilmente decodificato da un utente malintenzionato in grado di osservare le richieste e le risposte della sfida. Ecco un articolo che propone un sistema leggermente diverso per l'inserimento dei PIN: Come respingere gli spallacci .

Hai anche menzionato le password grafiche e so che c'è stato un lavoro prolungato in quest'area per combattere lo "spasso". Ma credo che anche loro non pretendono di essere impermeabili agli aggressori che hanno capacità di osservazione prolungate, solo più resistenti di altri sistemi di autenticazione. Posso indicarti alcuni documenti correlati se ti interessa approfondire l'argomento:

• Vivi solo due volte o "Gli anni abbiamo sprecato la preoccupazione per lo spallaccio"
• Difesa Surf Shoulder per password grafiche basate sul richiamo
• Resistenza alla spaccatura con l'eye-gaze nelle parole chiave Cue-Recall
• Confronto tra rischi percepiti e reali di navigazione a spalla tra password alfanumeriche e grafiche

Per le situazioni in cui tutti i dati visivi e audio sono sensibili all'osservazione, di solito facciamo affidamento su un sistema di autenticazione in cui non vi sono dati osservabili trapelati. Questo può essere qualcosa come schede RFID, smart card, determinati tipi di dati biometrici, ecc. Quando queste opzioni non sono disponibili o sono combinate con conoscenze come un PIN ATM, in genere cerchiamo di implementare i controlli menzionati per ridurre la possibilità di osservazione illecita.