Protección de inicio de sesión en el sitio web con extensión de Chrome

Después de leer todos los comentarios de esta publicación (hasta ahora), no hay mucho que pueda aportar, pero gracias por compartir. Habiendo dicho eso, aquí están mis opiniones sobre algunos comentarios escritos anteriormente.

Acerca de la solución de marcadores, el problema surge cuando alguien tiene acceso a sniffers, proxy o registros de http, incluso al historial del navegador de la máquina.

Me gusta la idea de @samfisher, usar un token dinámico (como el "autenticador" de Google). Si desea enviar el valor secreto en segundo plano (más fácil de usar), debe mantener la extensión alejada de personas no deseadas, una vez que la extensión lo instale en un navegador específico, el código está disponible para esa persona. Solo para usar como referencia [1]

Restringir por dirección IP siempre es una buena idea (funciona principalmente en intranet o usando VPN

La solución SSL / TLS es lo que creo que necesitas, en cierto modo, funciona como una clave, por otro, encripta el canal. Instalar una vez, trabajar cada vez (hasta que caduque)

En la mayoría de los casos, la máquina del usuario debe estar segura.

PS: siempre puedes aceptar un encabezado http específico del usuario-agente definido por ti para permitir las conexiones entrantes, algunas compañías principales lo habían hecho en el pasado [2];)

[1] enlace 's-security-token / #. U5CvIM9dW24

[2] enlace

Parece que potencialmente estás buscando una forma física de autenticación de dos factores. Es posible que desee consultar YubiKey . Es fácil agregar dos factores de autenticación a una aplicación web de PHP (incluso tienen bibliotecas de PHP para usted). Las claves en sí son muy asequibles (aunque no conozco su presupuesto)

Si realmente no necesita un dispositivo físico, entonces definitivamente vaya con lo que sugiere su cooperación. Los certificados son totalmente gratuitos y no requieren casi ninguna interacción del usuario (aunque eso puede ser un inconveniente si el sistema de usuarios no es seguro).

Habría agregado esto como un comentario, pero no tengo suficientes "puntos". Tan tonto.

Según tengo entendido, una solución ideal lograría lo siguiente:

• Proteja el proceso de inicio de sesión de su aplicación al requerir una etapa adicional de autenticación antes de otorgar acceso a la página de inicio de sesión (es decir, reducir la posibilidad de un intento de fuerza bruta en el nombre de usuario / contraseña, etc.).
• Proporcione un factor de autenticación adicional (aunque no ha mencionado específicamente el factor múltiple, los ejemplos de NFC, unidades USB, etc. pertenecen a esto).

No dudo que una extensión de Chrome bien escrita o similar pueda lograr esto. Para ser una forma efectiva de autenticación, realmente debería estar verificando un secreto que solo sería poseído por un administrador válido (yo digo que lo poseo, ya que idealmente verificaríamos algo que el usuario tiene : sepa que el otro factor de autenticación es una contraseña, algo que el usuario sabe ). Hay una serie de desafíos inherentes, entre ellos:

• la generación de una clave segura (por ejemplo, un certificado) que es difícil de falsificar.
• gestión de claves (¿cómo se almacenará el secreto de forma segura?).
• comunicación segura con el servidor (es decir, ¿enviaría toda la clave o aprovecharía la respuesta de desafío? ¿A través de qué protocolo?).
• el punto final del lado del servidor: si se usa HTTP para la comunicación con el servidor, es probable que el servidor en algún punto, o varios puntos, necesite recibir valores a través de parámetros. El código del lado del servidor aquí debería implementarse de manera segura al igual que la propia página de inicio de sesión.

En términos prácticos, una extensión de Chrome podría potencialmente leer un archivo del disco, aunque el usuario tendría que seleccionarlo ellos mismos. enlace

Dadas las dificultades presentadas anteriormente con respecto a la implementación de este tipo de sistema, recomendaría la alternativa antigua y razonablemente bien establecida de Certificados de Cliente SSL / TLS . Esto proporcionaría un factor de autenticación adicional (el administrador debe tener un certificado válido) y, de lo contrario, impediría el acceso a la página de inicio de sesión (o cualquier comunicación HTTP). Además, la generación de claves, la gestión, el transporte, etc., se implementan en el servidor / clientes SSL / TLS, y son relativamente confiables dado el gran escrutinio de la industria.

Una implementación de ejemplo solo para dar una idea de lo que está involucrado: enlace