Métodos de autenticación sin confiar en terceros a menos que se indique explícitamente

0

El plan es tener una situación en la que no se deba confiar en terceros a menos que usted lo indique explícitamente. Por ejemplo, las CA solo se usan cuando el contacto ha agregado explícitamente a la CA como parte de confianza (no habrá ninguna entidad CA raíz o CA de confianza que firme otras CA).

Métodos que he recogido hasta ahora:

  • El ejemplo de CA anterior.
  • Usar una web de confianza.
  • Enviar una contraseña de un solo uso a una clave pública no autenticada, lo que requiere que esta contraseña se te envíe de vuelta a través de otro medio para demostrar que eres tú. Como un SMS de un número conocido de antemano o cara a cara. Dado que solo el titular de la clave privada podría saber esta contraseña, se comprueba que la posee.

¿Hay otras formas de autenticar a los propietarios de certificados cuando no está sujeto a los estándares pero no puede distribuir hardware por adelantado?

Para aclarar: Se trata de verificar que el titular de la clave privada es realmente la persona que usted cree que debería ser el titular. En otras palabras, se trata de autenticar la identidad del propietario del certificado. Así que, como: "¡Hey [email protected]! ¿Eres realmente el Frank que conozco de la clase?"

    
pregunta Beanow 22.04.2012 - 03:44
fuente

1 respuesta

1

Defina qué es exactamente lo que quiere autenticar acerca de la parte con la que se está comunicando. ¿Desea autenticar el nombre en su licencia de conducir? ¿Que tienen un número de tarjeta de crédito válido que puedes cobrar? ¿Que controlan un nombre de dominio particular? ¿Que son su número de cuenta de cliente y control tal y cual? ¿Algo más?

Para muchos sitios web, todo lo que necesitan saber es que usted es la misma persona que creó la cuenta inicialmente. Cuando inicie sesión en su cuenta de correo electrónico de Gmail, todo lo que debe hacer es demostrar que usted es la misma persona que creó esa cuenta inicialmente.

Para muchos sitios web de comercio electrónico, todo lo que necesitan saber es que usted tiene un número de tarjeta de crédito válido y que pagará. Por ejemplo, cuando inicia sesión en su cuenta de Amazon y compra algo, todo lo que necesitan saber es que usted es la misma persona que inicialmente creó esa cuenta y que su número de tarjeta de crédito es válido y que se aceptarán los cargos en esa tarjeta. .

Ninguno de estos escenarios requiere certificados (se pueden lograr con certificados, pero también se pueden lograr de otras maneras).

En resumen, la autenticación es un tema amplio. La forma en que autentiquemos a otra parte depende de lo que, exactamente, queremos autenticar sobre ellos y de las garantías que deseamos que proporcione el método de autenticación.

    
respondido por el D.W. 22.04.2012 - 06:00
fuente

Lea otras preguntas en las etiquetas