Quali sono le precauzioni di sicurezza adeguate quando si abilitano più account social connessi o metodi di accesso / autorizzazione?

Question

Quali sono le precauzioni di sicurezza adeguate quando si abilitano più account social connessi o metodi di accesso / autorizzazione?

#1 da (2 voti)

2

Oggi è molto diffuso per framework e siti social per abilitare più opzioni di autorizzazione durante la creazione di siti web. Ad esempio, consentire a un utente di accedere con GitHub, Twitter, Facebook, ecc. Inoltre, la verifica dell'identità tramite codici di verifica mobili sta diventando sempre più comune.

L'attivazione di queste funzionalità sembra comportare un ulteriore rischio per la sicurezza, se non gestita in modo appropriato. Ad esempio, quando si modifica una password, agli utenti viene richiesto di fornire la password passata o di reimpostare la password tramite e-mail, anche se l'utente è attualmente connesso o autenticato. Tuttavia, ci sono casi in cui un modo simile di verifica dell'identità non viene applicato prima di aggiungere account / accessi connessi.

Quali sono le strategie o le best practice consigliate per aggiungere o modificare ulteriori opzioni di autorizzazione / accesso mentre si seguono le precauzioni appropriate?

oauth identity authorization identification identity-management

posta Craig Smitham 17.12.2014 - 19:09

fonte

1 risposta

Leggi altre domande sui tag oauth identity authorization identification identity-management

Utilizzo di iptables per Linux per implementare un firewall di filtro a pacchetto senza stato Come ottengo un certificato client ssl firmato da terze parti?

score 2 · Accepted Answer

Ricorda che quando abiliti l'autenticazione dell'account di terze parti nella tua applicazione è perché sei che delega l'identificazione e l'autenticazione a quel terze parti , che tu scegli trust .

Ad esempio, se l'utente sceglie di accedere all'applicazione utilizzando un account di terzi, l'applicazione non deve essere a conoscenza quando l'utente cambia la sua password. Piuttosto spetta alla tua applicazione mantenere l'accesso dell'utente in modo permanente o chiedergli di accedere nuovamente (utilizzando l'account di terzi) ogni volta che ottiene l'accesso.