Progettare un sistema sicuro che verifica la persona che registra un prodotto è l'utente finale / cliente

4

Lo scenario:

  • Il nostro cliente crea dispositivi fisici utilizzati nell'infrastruttura in tutto il mondo
  • I loro nuovi dispositivi hanno funzionalità IoT e possono comunicare il loro stato e altri dati del sensore al cloud
  • Stiamo creando un portale web che visualizza informazioni su questi dispositivi
  • Questo portale web fornisce l'accesso ai clienti e al loro personale

La necessità:

Abbiamo bisogno di costruire un processo di registrazione del cliente sicuro che assicuri che la persona che registra un account con il portale sia il suo vero cliente e acceda ai dati emessi dal dispositivo di cui sono proprietari.

Il processo corrente, come delineato finora:

Quando un dispositivo viene venduto, il sistema ERP informerà il portale del cliente, tramite una connessione sicura (API), che è stato venduto un dispositivo. Comprenderà i dettagli del dispositivo (numero di serie, ecc.) E alcune informazioni sui clienti (nota: le informazioni sui clienti a questo punto potrebbero appartenere a un grossista e non essere il cliente finale a cui siamo interessati).

I dispositivi includeranno una sorta di etichetta con un codice QR / URL / chiave che può essere utilizzato per registrare il dispositivo.

Il problema: è difficile renderlo sicuro, perché, ad esempio, sarebbe possibile per qualcuno fotografare il codice QR mentre il dispositivo è in transito. Qualcuno con la fotografia potrebbe quindi registrare il dispositivo in modo inappropriato.

Idee:

  • Crea un'etichetta a prova di manomissione, ad esempio qualcosa che puoi graffiare la superficie di (come un biglietto della lotteria) per rivelare una chiave segreta utilizzata per la registrazione. Includi un grande avvertimento che, se sei l'utente finale e questa etichetta è stata manomessa, devi informare immediatamente la società.
  • Prova a sviluppare una sorta di autenticazione a due fattori, per cui durante la registrazione al portale, il portale informa l'ERP della registrazione e l'ERP invia un'email al cliente per verificare la registrazione. Il problema con questo approccio è la situazione di grossista che ho menzionato in precedenza.
  • Richiedere che il cliente inserisca un tipo di informazione che solo loro e la società di origine conoscono, come l'ID dell'ordine. Il problema è che non è terribilmente sicuro, l'ID dell'ordine può apparire sulle fatture di vendita, sui moduli di spedizione, ecc.

Qualcuno può suggerire un metodo sicuro per farlo? Esiste una soluzione o uno schema che possiamo adottare? Pensieri benvenuti - grazie!

    
posta adriandz 16.11.2016 - 13:53
fonte

1 risposta

3

Vorrei che il dispositivo si registrasse da solo invece che registrare il dispositivo da un cliente.

  • Un cliente crea un account cliente. Questo consente al cliente di gestire account individuali per altri utenti all'interno dell'azienda, a concedere i privilegi a tali account, ecc. Presumo che i clienti tenderanno ad avere più di un dispositivo e che ci saranno più utenti che vogliono visualizzare i dati. E le aziende potrebbero voler separare gli utenti in modo che alcuni utenti possano visualizzare i dati solo per un sottoinsieme dei dispositivi.
  • Durante il processo di installazione, oltre a fare cose come impostare il
    connessione di rete e un alias che controllano, il cliente fornisce al dispositivo le informazioni di accesso dell'account cliente.
  • Il dispositivo contatta il portale e si registra utilizzando il nome utente e l'account del cliente & password e il suo identificatore interno. Se un utente malintenzionato ha già trovato e registrato tale identificatore, è possibile generare un errore o fare qualsiasi altra cosa che si desidera fare per indagare / risolvere il problema (ricordando che la seconda registrazione potrebbe essere un attacco di qualcun altro o potrebbe essere il vero cliente che registra il dispositivo).

In questo modo, gli utenti non devono preoccuparsi di documenti cartacei mancanti o che digitano una chiave segreta lunga. Stanno premendo un pulsante "Registra dispositivo" e il dispositivo gestisce il resto.

    
risposta data 16.11.2016 - 19:41
fonte

Leggi altre domande sui tag