Autenticazione mobile

Question

Autenticazione mobile

#1 da (1 voti)

0

Attualmente sto lavorando a un'app Android in cui voglio autenticare qualcuno contro un'API REST. Voglio farlo in modo sicuro (costo) efficace / possibile / facile da usare.

Mi sono guardato intorno e ho scoperto che la 2FA (autenticazione a due fattori) sembra la soluzione più praticabile (dopo aver avviato il processo di iscrizione invierò un POST all'API REST per archiviare i dati del dispositivo e fornire al dispositivo un token che viene generato dalle informazioni del dispositivo e quindi inviare un SMS con un diverso token al telefono che l'utente deve quindi immettere (probabilmente TOTP)). SSL viene utilizzato durante la comunicazione con l'API remota.

La mia domanda è, vale la pena di esaminare la biometria? Ci sono così tante possibilità per farlo:

Voce
I gesti
Impronte digitali (sembra molto pericoloso. Episodio di Mythbusters del 2006)
Una foto dell'utente (dal momento che un "selfie" è una cosa, ma deve essere monitorato se non viene trovato un adeguato software di abbinamento).
e probabilmente ne dimenticherò qualcuno in più ...

Grazie per l'aiuto.

rest authentication android biometrics

posta Orion 23.06.2014 - 14:01

fonte

1 risposta

Leggi altre domande sui tag rest authentication android biometrics

Tentativo di phishing PayPal? Pionee Red: si tratta di un attacco di phishing? Cosa dovremmo fare?

score 1 · Answer 1

Innanzitutto, ciò che inizialmente stai descrivendo non è l'autenticazione a due fattori. Sono due esempi di "ciò che hai". Il telefono contiene un token, quindi devi avere il telefono con il token. Il telefono riceve anche messaggi SMS, quindi è necessario avere il telefono. Non solo sono due cose che devi avere (TFA deve essere due fattori diversi), ma è la stessa cosa che devono avere, rendendo completamente inutile fare entrambe le cose.

In secondo luogo, la biometria non è probabilmente pratica. Avresti bisogno di un client comune che sarebbe disponibile su tutti i dispositivi e la progettazione di tale interfaccia sarebbe tecnicamente complicata (molto probabilmente richiede un software di terze parti). Perché non usare solo una password? Questo è qualcosa che l'utente conosce e sarebbe un altro fattore. Se hai due fattori, generalmente non è considerato opportuno dargli fastidio con un terzo a meno che non sia banale farlo, e in questo caso non lo è.