Qual è un buon metodo per autenticare gli utenti e accertarsi che non forniscano le proprie credenziali a qualcun altro?

Stai cercando una soluzione tecnica per un problema sociale. Di solito non funziona. Se hai una forza lavoro disonesta che sta collaborando con l'azienda, troveranno sempre un modo per ingannare il sistema. L'unica vera soluzione è quella di risolvere i problemi di fiducia tra la tua azienda e i tuoi dipendenti.

Ma se vuoi davvero una soluzione tecnica, potresti voler investire in un fisico sistema di punch clock e posizionalo in una posizione facilmente osservabile dove chiunque abbia due schede perforate rischia di essere catturato.

Penso che tu stia andando nella giusta direzione parlando dell'utilizzo dell'autenticazione a 2 fattori, ma il percorso biometrico potrebbe essere troppo costoso per te.

Esistono numerosi buoni sistemi che puoi implementare utilizzando il cellulare di un utente o un telecomando come secondo fattore.

Twingo's Authy è abbastanza facile da configurare, dove puoi avere un messaggio di testo Authy un codice per persone quando tentano di accedere e tale codice viene utilizzato per l'autenticazione completa.

Questo combina qualcosa che una persona conosce (la sua password), con qualcosa che ha (il suo cellulare).

C'è anche Google Authenticator e RSA SecureID , che funziona in modo simile creando codici temporali che inserisci insieme alla tua password.

Entrambi dispongono di app che puoi utilizzare su un telefono, ma anche di telecomandi autonomi che puoi acquistare per coloro che non hanno un telefono o che non desiderano materiale di lavoro sui loro telefoni personali.

Puoi anche utilizzare Google Authenticator come secondo fattore per accedere a Windows con Rohos , ma sembra che tutti i tuoi PC condividano un accesso comune e che i lavoratori debbano accedere a un secondo sistema, che è dove dovrai aggiungere il supporto per questi, molto probabilmente con qualche programmazione personalizzata.

Il tuo problema non è il sistema di autenticazione di per sé, quanto più è un problema etico e un problema di spazio di lavoro (c'è anche una Workplace SO Community per questo). A mio parere, nulla può impedire a un utente di condividere le credenziali di Timeclock con i propri colleghi, anche se sono unici. Metterei in atto un sistema di controlli casuali per vedere se le ore che hanno inserito sono valide o meno, e questo combinato con un incentivo adeguato (leggi ammenda monetaria) dovrebbe essere sufficiente per far sì che la massa critica utilizzi correttamente i sistemi. Avrai sempre dei valori anomali che forzeranno i limiti di qualsiasi sistema, ma tu vorresti applicare il ruolo di Pareto - 80-20, ovvero: fare in modo che l'80% di loro segua le regole.

Sono d'accordo con le altre risposte che stai cercando una soluzione tecnologica per un problema di fiducia umana. Non ne troverai uno.

La biometria non risolverà il problema fondamentale degli utenti che cercano di imbrogliare il sistema. Ad esempio, ecco una guida a intructables.com duplicare un'impronta digitale per solo un dollaro o due nei materiali. Trucchi simili si applicano per il riconoscimento facciale / scansione dell'iride (anche se quest'ultimo è più difficile, per il momento).

Se hai intenzione di seguire il percorso biometrico, hai davvero bisogno che una guardia di sicurezza li osservi attentamente mentre strisciano le impronte digitali per assicurarti che non stiano tradendo.

A quel punto, sarebbe più economico avere i badge ID di controllo della guardia di sicurezza alla vecchia maniera.