Vorrei autenticarmi da un iPad a un sito Web in modo sicuro senza utilizzare una password complessa. Ho però di queste possibilità:
Qual è il modo giusto e sicuro per farlo?
I certificati client sono la soluzione migliore: consentono all'iPad di dimostrare la propria identità senza trasmettere la parte riservata (la chiave privata). Anche se la rete viene toccata, HTTPS è in qualche modo rotto o il server di destinazione è compromesso, l'utente malintenzionato non sarà in grado di rubare la chiave. È anche senza soluzione di continuità e non viene nemmeno visualizzata l'autenticazione: tutto avviene in background durante la negoziazione TLS.
Le smart card sarebbero una buona idea per proteggere ulteriormente la chiave privata (se l'iPad è compromesso la chiave potrebbe ancora fuoriuscire) ma iOS non ha il supporto per il momento.
Puoi aggiungere l'autenticazione a due fattori su quella utilizzando TOTP per maggiore sicurezza se la tua minaccia il modello lo richiede.
I dati biometrici aggiungono poca sicurezza in quanto non possono essere modificati se compromessi (e dato che lasciamo le nostre impronte ovunque, è bene presumere che siano effettivamente compromessi), per non parlare del fatto che è difficile da realizzare su iOS perché non c'è supporto integrato per questo (Touch ID può essere utilizzato solo da app, non da siti Web, e autentica solo l'utente sull'iPad - non ci sarebbe alcun modo di inviare i dati delle impronte digitali al server per la verifica).
Leggi altre domande sui tag authentication