Cómo implementar la autenticación sin contraseña en un sitio web

En casi todos los casos en los que haces clic en "Recordarme", esto ya está sucediendo en tu computadora. Una cadena aleatoria de caracteres se almacena en una cookie y se vincula a su cuenta. La razón por la que se requiere más que esto tiene que ver con la movilidad. Si cambia de computadora, ¿cómo vuelve a iniciar sesión sin el nombre de usuario / contraseña estándar? Los usuarios simplemente no llevan sus cookies con ellos.

En el caso de la sugerencia de correo electrónico, puede enviar un código aleatorio que se puede ingresar en un campo de formulario, o incluso hacer clic como enlace. Para algún nivel marginal de seguridad incrementada, expiraría esos enlaces de clic después de un tiempo y almacenaría un código aleatorio diferente como la cookie.

Puede encontrar este artículo académico de interés: Ceremonias condicionadas seguras y un Estudio del usuario de una aplicación para la autenticación web . El documento describe una forma de usar cookies permanentes y seguras para la autenticación y para permitir que las personas registren una nueva máquina mediante un enlace de correo electrónico. No es de ninguna manera la única manera, es solo un ejemplo, y probablemente hay muchas otras formas posibles de hacer algo en este sentido.

Hay tres formas de autenticar una identidad: según lo que tiene (teléfono, dispositivo), o lo que sabe (una contraseña, una historia) o lo que es (su huella dactilar, exploración de la palma de la mano). Lo último es inutilizable en un contexto remoto.

Por lo tanto, tu pregunta es sobre el uso de una alternativa a lo que sabes. Es decir, usar lo que tienes (generalmente limitado en el tiempo). Por lo general, esto implica tokens o una contraseña de tiempo.

Vea algunos de estos: enlace , enlace , y enlace .

Son tan seguros como tener un teléfono (y perderlo). Es bastante amigable.

He conocido un proceso de autenticación bastante bueno y sencillo de este servicio . Utiliza el número de su teléfono móvil para enviar una contraseña única a través de SMS.