Un sistema di autenticazione in due passaggi grafico [duplicato]

Sicurezza

Stai chiedendo agli utenti di ricordare:

• una password sopra gli 8 caratteri
• un'immagine
• un percorso relativo a quell'immagine

E tutto questo per quale ulteriore sicurezza? Il secondo passo è un fattore di conoscenza, proprio come la password, viene esposto e fornito attraverso esattamente lo stesso canale, il che significa che attacchi come phishing, malware sul dispositivo o irruzione nel server funzioneranno altrettanto facilmente.

Ora, l'obiettivo di aggiungere passaggi di autenticazione piuttosto che fattori (di tipi diversi e scambiati / verificati attraverso canali diversi) non significa aumentare la sicurezza, ma aumentare l'usabilità. Il primo passo sarebbe quello di consentire agli utenti di avere una password più semplice in cambio del dolore extra che li fai passare.

Esperienza utente

Al momento, sono necessari 5 secondi in più per accedere al tuo sito piuttosto che senza questa immagine. Suona bene? Questo è un singolo sistema, ho creato il mio auth factor appena prima ed è fresco nella mia mente! Tuttavia, se dovessi usarlo 20 volte al giorno, perderei 6 minuti di lavoro produttivo. Cercando una seconda volta cinque minuti dopo, non sono riuscito a autenticarmi già!

Dici di "bilanciare i compromessi tra sicurezza e esperienza utente", come si gioca con una griglia di immagini e il conteggio dei numeri di righe e colonne pensate per aiutarmi? Riesci a capire in che modo la frustrazione aumenta da un'autenticazione fallita subito dopo un uso così riflessivo dell'interfaccia utente? Non ho fatto errori di battitura digitando troppo velocemente la mia password, ero troppo dannatamente stupido per fare clic l'immagine giusta anche se ho esitato e contato!

L'esperienza utente non è: "Ho messo alcuni colori fantasiosi e ho dato istruzioni in modo che l'utente dovrebbe essere ok", è più "L'utente ha fatto uno sforzo, loro meritano per passare, ma ancora fallimento le tariffe e i tempi di accesso sono superiori rispetto al sistema precedente che aveva solo password ".

Cosa dovresti aspettarti in scala

Sai cosa succede se gli utenti devono gestire più password grafiche? Il rendimento diminuisce proprio come con le password . Sebbene diversi studi di laboratorio suggeriscano che la diminuzione sia meno radicale rispetto ai PIN o alle password di testo, è ancora qui e dobbiamo ancora vedere il corretto lavoro sul campo che mostra come gli utenti gestiscono molte password grafiche, poiché sono limitate nell'espressività delle loro password e nelle loro strategie di riutilizzo.

È anche degno di nota il fatto che qualsiasi password che un utente sceglierà in una condizione di laboratorio per testare il tuo software ha una buona possibilità di essere completamente diversa da quella che sceglieresti normalmente: ciò influisce su qualsiasi studio sulla memorabilità delle password.

In breve, è molto utile trovare nuove soluzioni al vecchio problema delle password, ma dovresti davvero notare che non c'è quasi nessuna prova di qualcosa che funzioni effettivamente su scala e dovresti provare a capire non i punti deboli ma i punti di forza delle password se vuoi progettare qualcosa di meglio per la maggior parte delle autenticazioni degli utenti.

Non puoi proporre qualcosa che richiede più tempo. Inoltre, non puoi proporre qualcosa che è più difficile da ricordare quando ne ho più di dieci da gestire. Inoltre, è un'ottima idea capire dove il tuo sistema è buono e dove è male, e indagare su quali pratiche sono adatte per . Ad esempio le password sono cattive per l'autenticazione poco frequente (paio di volte all'anno) perché si dimentica quale password si è utilizzata. I PIN sono migliori delle password e dei gesti meglio dei PIN per l'autenticazione dell'interfaccia utente touch in termini di tempo di inserimento. Infine, il problema delle password è non solo un problema di fattori , deve essere fatto principalmente con l'accumulo di questi e con i processi disponibili per gestirli nel loro complesso. C'è un motivo per cui i gestori di password sono così popolari!

Modifica 1: se ritieni seriamente l'esperienza utente e l'usabilità, lascia da parte per un po 'l'intera sicurezza "utilizzabile" e segui un corso di formazione su HCI e progettazione. Hai davvero bisogno di una prospettiva più consapevole su come lavori, hai bisogno di insegnare a te stesso a pensare come un designer / esperto di ergonomia / esperto di usabilità piuttosto che solo "bilanciare compromessi" o "pensare all'utente".

Modifica 2: con quale frequenza i criminali informatici ti trascinano in spalla e quanto spesso ti fanno phishing o attaccano il server in cui sono archiviati i tuoi dati? Conosci le tue minacce! La spallatura è rilevante solo per alcuni tipi di servizi, ad es. Facebook, UI di autenticazione mobile ... non il caso generale sul Web.

Se le immagini sono posizionate in modo casuale, ad eccezione di un'immagine, è possibile determinare l'immagine e l'offset. (se vedi quella schermata di selezione delle immagini abbastanza volte, l'immagine non si troverà mai vicino all'angolo dove il "percorso finale" gli impedisce di farlo)

Questo è anche molto confuso per un utente finale, impedendo alle persone che vuoi nel sistema di ottenere l'accesso.

Una soluzione più semplice e sicura è scegliere l'immagine direttamente.