El umbral más bajo posible para el inicio de sesión de la aplicación de teléfono inteligente

La seguridad de la contraseña es un compromiso entre facilidad de uso y seguridad . Cuanto más "compleja" sea una contraseña (es decir, difícil de adivinar para los atacantes), más difícil será para el usuario recordarla y escribirla correctamente. Puede intentar cambiar el equilibrio un poco con algunos trucos, pero debe aceptar que si cualquiera puede usar el sistema sin torpeza, entonces se pueden adivinar algunas contraseñas.

Entre los posibles trucos para hacer que las contraseñas sean más seguras mientras se mantienen usables, puede probar lo siguiente:

• Imponga limitaciones estrictas en la tasa de inicio de sesión. Para una cuenta de usuario determinada, no debe aceptar más de un intento de inicio de sesión por cada 10 segundos; posiblemente, aumente este retraso después de cada falla (pero no bloquee la cuenta de forma permanente, de lo contrario será demasiado fácil bloquear las cuentas de otras personas).

• Usa un "alfabeto" gráfico. Una contraseña no es más que una secuencia de símbolos, que el usuario recuerda y luego "escribe" presionando los botones correctos en la pantalla de su teléfono inteligente. Las letras y dígitos se combinan con una habilidad que la mayoría de los usuarios humanos aprendieron a través de años de capacitación, a saber, leer . Sin embargo, los humanos son buenos en otras cosas que leer. Su aplicación podría mostrar un "teclado" con símbolos coloridos, que los usuarios luego usan como "letras" para su contraseña (por lo tanto, recuerdan la secuencia "gato-plano-torta-silla-árbol-árbol-conejo" en lugar de "u8n". ffi "). Con las imágenes, a los usuarios les resultará más fácil construir una especie de "historia" alrededor de su contraseña, lo que hará que sea más fácil para ellos recordar. (Agregue colores, pero no los use como discriminantes, ya que hay personas ciegas al color).

• Enlace el dispositivo a la cuenta. Por ejemplo, en un contexto HTTPS, inserte una cookie aleatoria en el navegador del cliente. Cuando el usuario regresa pero no muestra la cookie, aplica reglas de verificación más estrictas (por ejemplo, "preguntas de seguridad" o simplemente retrasos en el inicio de sesión). Esto hará la vida más difícil para los atacantes, pero no para la mayoría de sus usuarios (las personas que cambian de teléfonos inteligentes experimentarán una mayor demora, a menos que utilicen algún tipo de sincronización para transferir sus cookies).

• No exagere. Usted declara que hay poco valor en hackear una cuenta. Por lo tanto, no necesita una fuerte seguridad. El análisis de riesgos es primordial: utilice esfuerzos de protección que sean proporcionales al valor de lo que está tratando de proteger, pero no más.

• Haga responsables a los usuarios. En su caso, su activo más valioso es su reputación; lo que sería más dañino en el caso de un hackeo exitoso de una cuenta es la idea de que su sistema es "hackeable". Por lo tanto, intente culpar al usuario de manera proactiva: el usuario debe estar convencido de que si se piratea su cuenta, ese es el error suyo , no el suyo. Esto se hace proporcionando las herramientas correctas: permitir a los usuarios ingresar contraseñas seguras y agregar una advertencia visible en la página de registro ("el usuario es responsable de elegir una contraseña segura, lo cual no es fácil adivinar"). Esto no es una cosa agradable que hacer a sus usuarios, pero todos lo hacen (comenzando por las compañías de seguros: si no cierra la puerta de su auto, nunca se le reembolsará lo que haya sido robado de su coche).

• Ofrezca un generador de contraseñas no obligatorio . Un simple botón que el usuario puede presionar si decide obtener una contraseña generada aleatoriamente. Algunos usuarios lo usarán, y estos, al menos, obtendrán contraseñas seguras (y, lo que es más importante, contraseñas con una fuerza conocida ).

Si su propósito es simplemente identificar al mismo usuario cuando inician sesión más de una vez y la seguridad no es una gran preocupación, ¿existe alguna razón por la que no pueda usar la ID del dispositivo? No permitiría que alguien acceda a su cuenta desde más de un dispositivo, pero le permitiría identificar un dispositivo de forma única. Entonces podría tener una opción de nombre de usuario y contraseña para que alguien quiera usar su cuenta en más de un dispositivo.

Use la cámara del teléfono para tomar una foto de la cara de los usuarios y usarla para la identificación. Hay una aplicación que hace esto pero olvido su nombre. ¿Por qué un usuario debe iniciar sesión? ¿Por qué no almacenar todos los datos requeridos por la aplicación localmente en el teléfono?

EDITAR: otra cosa que he visto es el uso de imágenes, por ejemplo, elija 5 imágenes de una lista de 10 para autenticar.

Lo mejor es usar la cuenta de juego que tienen los sistemas modernos. Google Play Games y iOS Game Center, por ejemplo. Este es el método estándar, el usuario simplemente debe hacer clic en Sí en la pantalla de solicitud. Sus usuarios necesitan una cuenta Play / Apple para descargar sus juegos de Play store / App store de todos modos, por lo que ya deben haber iniciado sesión en su dispositivo, ya que las personas que realizan descargas fuera de la tienda de aplicaciones normal, bueno, no son suyos. Abuelita típica.

Si por alguna razón no quiere hacer esto, haga que el registro sea opcional y sin contraseña. Cuando el usuario decida registrarse, permítales ingresar el correo electrónico y enviar una clave de confirmación a ese mensaje de correo electrónico, el usuario debe hacer clic en esa clave para que se complete el registro. Cuando el usuario configura un nuevo dispositivo, solicite su correo electrónico anterior y envíe otra clave de confirmación para vincular el nuevo dispositivo con la cuenta. Detrás de escena, emite un token único para cada dispositivo que está vinculado a ese dispositivo y cuenta.