Registro a nivel de computadora por instituciones financieras

Navega tus respuestas
3

Estoy buscando el mejor método para reconocer una computadora específica y guardarla como una máquina de inicio de sesión "segura". Mi intuición me indica que use cookies, pero ¿qué valor almaceno allí para asegurarme de que sea seguro? ¿Con qué datos hago referencias cruzadas para asegurarme de que la cookie no haya sido robada de otra computadora?

Algunos ejemplos de lo que estoy tratando de lograr son los sitios web de las principales instituciones bancarias, como Chase, Bank of America, etc. Parece que recuerdan si una computadora está accediendo al sitio por primera vez.

Es posible que haya planteado este problema de forma extraña, pero no conozco ninguna otra forma de describirlo, tal vez alguien pueda intervenir con la terminología de seguridad correcta para esta técnica. ¡Aunque soy relativamente nuevo en seguridad, estoy dispuesto a aprender!

Gracias

    
pregunta danyim 31.01.2012 - 21:09
fuente

2 respuestas

4

No estoy seguro específicamente de qué métodos usan los bancos que mencionaste, pero haría una combinación de muchas cosas, principalmente del lado del servidor y almacenadas en una base de datos.

Descargo de responsabilidad: ninguna de estas cosas es de ninguna manera infalible.

  • agente de usuario
  • Primer y segundo octeto de dirección IP (puede que no sea posible con IP dinámica, esto aún se está procesando en mi cabeza)
  • promedio de días de la semana / hora del día en que el usuario inicia sesión
  • cookie del navegador que contiene un token aleatorio

Estas cosas crean una firma del entorno típico desde el cual un usuario inicia sesión. Cuando eso cambia, solicitamos un elemento de autenticación adicional.

Cuando un usuario inicia sesión y uno o más de esos campos almacenados en la base de datos no coinciden, solicitaría la frase secreta o cualquier campo que utilice.

Estoy seguro de que hay otras formas, y otros campos con los que puedes almacenar para comparar, estas son solo algunas de las que se me ocurren rápidamente.

    
respondido por el Purge 31.01.2012 - 21:20
fuente
2

Lo que hacen algunos bancos grandes es usar productos como Trusteer's Rapport , que proporciona un agente a la máquina del usuario. que realiza la confirmación de que la máquina es "segura" y no ha visitado ningún sitio web malicioso conocido.

Existen otras soluciones comerciales y basadas en agentes locales para este problema, pero todo lo que hacen es hacer que la parte de un ataque sea más difícil.

Muchos bancos ya llevan a cabo análisis estadísticos sobre el tráfico de la red, y no solo sobre el tráfico de pago, para identificar con mayor rapidez posibles fraudes, pero esto no es tanto para identificar una computadora en particular, sino para identificar anomalías de comportamiento.

    
respondido por el Rory Alsop 01.02.2012 - 12:14
fuente

Lea otras preguntas en las etiquetas

Confianza y firma: ¿clave pública completa o huella digital? ¿Son estos flujos OAuth2 estándar? (¿Cuáles son sus nombres?)