Doppia autorizzazione (Social Auth 2.0)

2

Riesci a vedere alcune ovvie difficoltà nel richiedere a più di 2 utenti di confermare le richieste di autenticazione utilizzando un'associazione come un tipo di relazione di amicizia.

Un'applicazione pratica sarebbe un'applicazione Enterprise SAAS che richiede un altro utente nella stessa azienda per autorizzare la sua richiesta di accesso entro un breve periodo di tempo? Dovrebbe quindi essere la società degli utenti a decidere quante conferme di autorizzazione richiedono. (Usabilità contro sicurezza)

E il caso limite sarebbe se un'azienda avesse un solo utente, potrebbero semplicemente registrarsi per 2 account, idealmente usando 2 macchine separate su reti diverse (LTE e ADSL).

    
posta Null 20.08.2013 - 11:30
fonte

2 risposte

1

Vedo due problemi con la proposta: agli utenti normali non piacerà affatto e gli aggressori non avranno difficoltà a risolvere il problema.

L'usabilità è diminuita in quanto ogni utente deve avere i suoi colleghi / amici in giro quando vuole accedere. L'approvazione multiutente è un modello valido per registrazione iniziale ( i club vecchio stile funzionano in questo modo: puoi entrare solo se uno o due membri esistenti lo approvano) o quando il sistema è particolarmente critico (ad esempio in un Titan II lancio complesso, due ufficiali hanno dovuto girare le loro" chiavi di lancio "contemporaneamente per innescare il decollo ICBM), ma per le attività quotidiane gli utenti lo troveranno eccessivamente ingombrante. Quando gli utenti sono dipendenti, si lamenteranno e saranno improduttivi; quando gli utenti sono clienti, si allontanano.

La sicurezza non è molto aumentata per la ragione che tu affermi alla fine: anche se il server vede le richieste come provenienti da diversi utenti , non può controllare se provengono da umani diversi. Gli aggressori che riescono a rubare alcune credenziali possono spesso rubare diverse serie di credenziali allo stesso tempo; per esempio, se l'hacker potrebbe installare un keylogger su un computer desktop, prenderà tutte le password digitate su quel computer. Se viene eseguito il multi-login, è probabile che in molti casi i due utenti coinvolti digitino le loro password sullo stesso computer ("Ehi, Bob, mentre sei qui, vuoi inserire la tua password? rapporto vendite 6X42. ").

Ciò contrasta con l'autenticazione a due fattori in cui l'accesso dell'utente è controllato da due tipi distinti di credenziali. La sicurezza extra deriva da questa diversità di tipi; richiedere l'autenticazione da due distinti utenti non fornisce questo tipo di diversità.

    
risposta data 03.02.2014 - 12:56
fonte
0

La principale differenza tra login multiutente e accesso per utente singolo che vedo immediatamente è la separazione delle fasi di avvio della richiesta di accesso e concessione dell'accesso dopo l'autorizzazione di un altro utente. In termini di sicurezza, questa differenza richiede immediatamente un'attenzione speciale per proteggere l'integrità della sessione di accesso del primo utente. Fondamentalmente, il sistema di autenticazione deve garantire che la persona che effettua il login dopo l'autorizzazione sia ancora la stessa persona che ha avviato il login. Altrimenti, sarebbe vulnerabile agli attacchi di dirottamento di sessione.

    
risposta data 06.10.2013 - 02:28
fonte

Leggi altre domande sui tag