Browser Fingerprinting per garantire il login

1

È una buona idea identificare se l'utente che accede è l'utente che ha creato l'account utilizzando il fingerprinting del browser?

Fondamentalmente fai un po 'di controlli nel momento in cui fanno clic su Accedi e se non corrisponde all'80% di tutti i dati, allora chiedi alcuni articoli 2FA.

Suppongo che questo sia simile a ciò che fa Google, raccoglie questi dati legalmente da te e li aggiorna ogni volta che esegui l'accesso.

Ti stai chiedendo se è abbastanza sicuro o esiste un modo migliore per identificare gli utenti quando effettuano l'accesso? Perché farlo tramite l'indirizzo IP non è abbastanza sicuro, lo stesso vale per lo user agent, mi sono riferito al fingerprinting del browser ma ne so poco sulla sicurezza e voglio sapere dagli esperti.

    
posta Samuel Stubbings 16.07.2018 - 20:08
fonte

1 risposta

1

Questo è un metodo particolarmente user-friendly per un accesso più semplice da un dispositivo "riconosciuto". Tutte le opzioni di seguito si applicano insieme. Per esempio. l'agente utente da solo non è sicuro, ma si combina con l'indirizzo IP è più strong. Normalmente userebbe:

  • Dati dell'agente utente (inclusa la risoluzione dello schermo)
  • Fuso orario
  • Verifica dell'ora dal percorso dell'indirizzo IP e dall'ora del sistema
  • Cookie
  • WebRTC è abilitato?
  • L'indirizzo IP e il server DNS corrispondono?
  • JavaScript è abilitato?
  • L'indirizzo IP ha porte aperte? (per proxy noti o VPN)
  • I dati dell'agente utente del sistema operativo e del SO del browser corrispondono?
  • L'indirizzo IP è residenziale o da un centro dati?

WhatLeaks copre la maggior parte di questi.

Questo metodo è implementato tramite PayPal e funziona abbastanza bene. Dovresti essere in grado di autenticare e accedere a PayPal, disconnettersi e tentare di accedere di nuovo, non si dovrebbe causare un'e-mail per attività insolite ora. In questo caso, copia il tuo agente utente e i cookie del browser. Quindi posizionali su un altro computer. Non si dovrebbe causare un'e-mail per "attività insolite". Come hai detto riguardo all'abbinamento "80%", questo può essere applicato qui, se troppe modifiche poi, email o SMS di attività insolite.

Questo metodo è sicuro? Probabilmente, fornisce una protezione migliore che senza e blocca la maggior parte degli attaccanti. Tuttavia, alcuni diventano poco pratici, lo trattano come un proiettile d'argento, e quindi usano password più deboli o opt-out di 2FA.

    
risposta data 16.07.2018 - 20:38
fonte

Leggi altre domande sui tag