Autorización dual (Social Auth 2.0)

2

¿Puedes ver algún desafío obvio al requerir que más de 2 usuarios confirmen las solicitudes de autenticación mediante una asociación como una relación de amistad?

¿Una aplicación práctica sería una aplicación Enterprise SAAS que requiere que otro usuario de la misma compañía autorice su solicitud de inicio de sesión dentro de un período corto de tiempo? Entonces le correspondería a la empresa de los usuarios decidir cuántas confirmaciones de autorización requieren. (Usabilidad vs Seguridad)

Y lo mejor sería que si una empresa solo tuviera un solo usuario, simplemente pudieran registrar 2 cuentas, idealmente utilizando 2 máquinas separadas en redes diferentes (LTE y ADSL).

    
pregunta Null 20.08.2013 - 11:30
fuente

2 respuestas

1

Veo dos problemas con la propuesta: a los usuarios normales no les gustará nada y a los atacantes no les resultará difícil solucionarlos.

La usabilidad disminuye en el sentido de que cualquier usuario debe tener a sus colegas / amigos cerca cuando quiera iniciar sesión. La aprobación de múltiples usuarios es un modelo válido para el registro inicial ( los clubes de estilo antiguo funcionan de esa manera: puede ingresar solo si uno o dos miembros existentes lo aprueban) o cuando el sistema es especialmente crítico (por ejemplo, en un Titan II complejo de lanzamiento, dos oficiales tuvieron que girar sus" teclas de lanzamiento "simultáneamente para desencadenar el despegue de ICBM, pero para las tareas cotidianas los usuarios lo encontrarán demasiado engorroso. Cuando los usuarios son empleados, se quejarán y serán improductivos; cuando los usuarios son clientes, se alejarán.

La seguridad no aumenta mucho por el motivo que indica al final: incluso si el servidor considera que las solicitudes provienen de diferentes usuarios , no puede verificar si vienen de diferentes humanos . Los atacantes que logran robar algunas credenciales a menudo pueden robar varios conjuntos de credenciales al mismo tiempo; por ejemplo, si el atacante podría plantar un keylogger en una computadora de escritorio, entonces tomará todas las contraseñas escritas en esa computadora. Si se impone el inicio de sesión múltiple, es probable que, en muchos casos, los dos usuarios involucrados escriban sus contraseñas en la misma computadora ("Oye, Bob, mientras estés aquí, ¿deberías escribir tu contraseña? Debo actualizar informe de ventas 6X42. ").

Esto contrasta con autenticación de dos factores en la que el inicio de sesión del usuario está controlado por dos tipos distintos de credenciales. La seguridad extra proviene de esta diversidad de tipos; requerir autenticación de dos usuarios distintos no proporciona esta diversidad de tipos.

    
respondido por el Thomas Pornin 03.02.2014 - 12:56
fuente
0

La diferencia principal entre el inicio de sesión de múltiples usuarios y el inicio de sesión de un solo usuario que puedo ver de inmediato es la separación de las fases de inicio de la solicitud de acceso y la concesión de acceso después de la autorización de otro usuario. En términos de seguridad, esta diferencia exige de inmediato una atención especial para proteger la integridad de la sesión de inicio de sesión del primer usuario. Básicamente, el sistema de autenticación debe garantizar que la persona que inicia sesión después de la autorización sigue siendo la misma persona que inició el inicio de sesión. De lo contrario, sería vulnerable a los ataques de secuestro de sesión.

    
respondido por el Van Jone 06.10.2013 - 02:28
fuente

Lea otras preguntas en las etiquetas