Criptazione end-to-end e soluzione alla password persa

Question

Criptazione end-to-end e soluzione alla password persa

#1 da (1 voti)

1

Sto implementando la crittografia end-to-end a livello di campo (e2ee) ai dati dei clienti archiviati in un DB, questo DB viene utilizzato da un'applicazione web RESTFUL (angolare) tramite un'API Web.

L'API genera una chiave di crittografia per utente e crittografa simmetricamente quella chiave di crittografia con la password non crittografata dell'utente + le credenziali e la memorizza in un DB.

Ogni volta che l'utente deve fornire la password all'API Web per ottenere la chiave di crittografia decrittografata e l'utilizzo di tale chiave, l'API Web decodifica i dati del cliente e fornisce a RESTFUL WebUI.

Quando in una situazione in cui il cliente perde la sua password non riesce ad accedere ai suoi dati.

C'è qualche soluzione a questo problema con la password persa? Tuttavia, l'e2ee dovrebbe essere sempre disponibile e la nostra API Web / staff di interfaccia utente / sviluppatori / gestione dovrebbe avere zero conoscenza dei dati dei clienti.

api encryption passwords databases

posta inckka 13.10.2017 - 05:59

fonte

1 risposta

Leggi altre domande sui tag api encryption passwords databases

Rischia di creare un utente senza shell Sicurezza di un Unity 2017 Cache Server

score 1 · Answer 1

Qualunque siano i dettagli cruenti, il ripristino della chiave di crittografia richiede un backup della chiave. Un modo comune è quello di archiviare quella copia di backup in crittografato da, utilizzando la chiave pubblica di un key master - generalmente un amministratore del team. In questo modo, se l'utente perde la sua chiave, il key master può recuperare i dati.

Tuttavia, se tu offri quel sistema di recupero, tu (qualcuno del tuo staff) hai automaticamente una backdoor nascosta ai dati degli utenti e infrange la regola di conoscenza zero.

Quanto più puoi fare è avvertire i tuoi utenti che se perdono la loro password, tutti i loro dati saranno irrimediabilmente persi e li consiglieranno di mantenere un backup sicuro della loro password / chiave. A seconda del requisito, una busta sigillata in una cassastrong fisica può andare bene, o un vault della password su un dispositivo esterno (chiave USB, smartphone, ...)