Безопасность вне имени пользователя/Пароля?

Так как мобильные телефоны распространены в большинстве местоположений с доступом в Интернет в эти дни,
это имеет большой смысл видеть механизм двухфакторной аутентификации, который будет использовать мобильный телефон в качестве второй точки.

Даже Google недавно ввел тот круг.

Существуют случаи, когда телефон не достижим, или Вы не хотите, чтобы клиент ожидал через задержку мобильной второй факторной последовательности.
Вот прием, который мог бы уже быть запатентован и/или в широком использовании :-)
Я вспоминаю наблюдение в технической презентации схема, которая использовала одноразовый код, который был отправлен клиенту заранее. Когда они использовали одно доступное им, новый был отправлен их сотовым телефонам - предыдущий истечет, когда эта отправка произошла. Это была очень простая и интересная схема.

Важно знать, что два или многофакторные аутентификации не уменьшают важность хорошего пароля, который пользователь учится защищать лучше.

^{Как в стороне, я услышал о людях, кладущих не на место их аппаратные брелоки, которые отстучали 8 последовательностей аутентификации цифры, в то время как они пропустили свои now-not-so-critical пароли в открытую (или в их кошельках). Так, со вторым фактором люди могут иногда чувствовать ложную безопасность в мысли, что они распространили свои общеизвестные яйца в различных корзинах.}

Существует также двухфакторная аутентификация, где 2-м фактором является "КОРИЧНЕВАЯ таблица" (таблица числа аутентификации транзакции). Рассмотрите это как чрезвычайно не использующий высокие технологии вариант цифровых КОРИЧНЕВЫХ маркеров или одинаково не использующий высокие технологии вариант использования мобильного телефона как 2-й фактор.

Это - что-то как кроссворды - Вы комбинируете 2-й факторный код с комбинацией нахождения его в таблице horitzontal и вертикальными числами проблемы.:-) Одно хорватское использование банка (Erste & Steiermarkische), что, другие здесь используют аутентификацию смарт-карт и маркеров (не как 2-ю, но ony фактор хотя).

Кроме аппаратных средств, большинство дополнительных мер безопасности составляет просто сообщение пользователям иметь 2 пароля вместо 1. Пока у них есть сильный пароль, это не добавляет значения. Существуют другие определенные меры безопасности других целей. Как для моего банка, я сначала указываю свое имя пользователя, и затем изображение, которое я выбрал, открывается, "доказывая" мне, что я в правильном веб-сайте. Но это легко побеждено с незаконным веб-сайтом, который получает мое изображение с законного веб-сайта.

В конечном счете я не думаю, что существует что-либо, что можно сделать со стороны программного обеспечения для добавления безопасности (кроме нормальных процедур как никогда хранение незашифрованных паролей, использование https, и т.д.) лучше, чем просто принуждение более сильного пароля.

Тем не менее существует много, можно сделать для добавления к появлению безопасности. Как некоторые банки делают путем создания ответа вопросом о безопасности, а также ввода в пароле. Существует несколько способов добавить реальное программное обеспечение использования безопасности, как фильтрация IP, но это не практично для большинства веб-приложений.

Поскольку Вы заявили, что существует несколько аппаратных решений как брелоки. Если Вы хотите добавить реальный дополнительный уровень безопасности, я полагаю, что это - Ваш наилучший вариант.

Это кажется, что у Вас есть бизнес-клиенты, которые будут всегда соединять из-за бизнес-сети... сеть, которая, вероятно, будет иметь статический IP. Поэтому Вы могли дополнительно ограничить комбинации имени пользователя/пароля, чтобы только работать при попытке от того IP-адреса. Это не остановит кого-то в компании от получения доступа, но это остановило бы случайного Joe в Интернете, который, могло бы оказаться, нашел бы пароль.

Независимо от того, что Вы делаете, мой обычный совет для этой ситуации, не реализуют его сами. Системы безопасности невероятно легко реализовать неправильно, такой, что они проходят все Ваши тесты, и Вы даже не знаете, что что-либо неправильно до спустя шесть месяцев после того, как Вы были взломаны. Оставьте это компании, которая создает этот вид системы как их основной продукт. Другими словами: Вы находитесь в, "покупают, не создают" ситуацию.

Я нашел PhoneFactor некоторое время назад, но он может только использоваться для клиентов в ограниченном количестве стран.

Биометрика

Потребуйте, чтобы пользователи имели камеру... и использовали Биометрику Уха