Codificación de extremo a extremo y solución para la contraseña perdida

Question

Codificación de extremo a extremo y solución para la contraseña perdida

#1 de Serge Ballesta (1 votos)

1

Estoy implementando encriptación de extremo a extremo a nivel de campo (e2ee) a los datos del cliente almacenados en una base de datos, esta base de datos está utilizando una aplicación web RESTFUL (angular) a través de una API web.

La API genera una clave de cifrado por usuario y cifra simétricamente esa clave de cifrado con la contraseña en bruto del usuario + las credenciales y el almacén en una base de datos.

Cada vez que el usuario debe proporcionar la contraseña a la API web para descifrar su clave de cifrado y al usar esa clave, la API web descifra los datos del cliente y los proporciona a la WebUI RESTABLECIDA.

Cuando se encuentra en una situación en la que el cliente pierde su contraseña, no puede acceder a sus datos.

¿Hay alguna solución para este problema de escenario de contraseña perdida? Sin embargo, e2ee siempre debe estar disponible y nuestro personal de API / UI / desarrolladores / administración de la web debe tener un conocimiento nulo de los datos del cliente.

passwords encryption databases api

pregunta inckka 13.10.2017 - 05:59

fuente

1 respuesta

Lea otras preguntas en las etiquetas passwords encryption databases api

¿Seguro para ejecutar un puente de puente como usuario actual? ¿Una forma segura de guardar la cadena de conexión en .NET?

score 1 · Answer 1

Independientemente de los detalles sangrientos, la recuperación de la clave de cifrado requiere una copia de seguridad de la clave. Una forma común es almacenar esa copia de respaldo en cifrado usando la clave pública de un key master , generalmente un administrador de equipo. De esa manera, si el usuario pierde su clave, el maestro de llaves puede recuperar los datos.

Pero si usted ofrece ese sistema de recuperación, usted (alguien de su personal) tiene automáticamente una puerta trasera oculta para los datos de sus usuarios y rompe la regla del conocimiento cero.

Lo más que puede hacer es advertir a sus usuarios de que si pierden su contraseña, todos sus datos se perderán irremediablemente, y les aconsejan que mantengan una copia de seguridad segura de su contraseña / clave. Dependiendo del requisito, un sobre sellado en una caja de seguridad física puede estar bien, o una bóveda de contraseña en un dispositivo externo (llave USB, teléfono inteligente, ...)