Captcha es una de las mejores maneras de detener el bot de spam, por lo que los necesitarás en algún lugar, pero son un dolor para el usuario. Por eso me gusta cuando puedo autenticarme de alguna manera en un sistema, lo que significa que no tengo que responder un captcha cada vez.

La cookie de sesión es el camino a seguir para identificar a un cliente. Inicia sesión 1 vez (o prueba que no es un bot 1 vez al responder) un captcha y luego le das un ID de sesión dentro de una cookie. En realidad, normalmente hay 2 cookies, una cookie de sesión y una cookie de autenticación. La cookie de sesión se crea tan pronto como el usuario se conecta a su sitio, la autenticación se crea cuando inicia sesión.

Para el usuario bloqueado, puede bloquearlos por dirección IP, nombre de usuario o terminando la sesión (invalidando la cookie de su sesión, por lo que tiene que volver a responder un captcha). Pero si elige hacerlo por nombre de usuario, debe proteger el nombre de usuario con una contraseña o cualquier persona podría hacerse pasar por cualquier nombre de usuario.

Además, si no desea que su cookie de usuario o su información de inicio de sesión sean robadas (por alguien que escuche su tráfico web), deberá cifrar toda la comunicación entre el cliente y el servidor mediante HTTPS. De lo contrario, sus cookies y su información de inicio de sesión no son seguras. Si un atacante obtiene acceso a una cookie, puede suplantar a esa persona.

Veo 2 alternativas

Alternativa 1: nombre de usuario + contraseña

Solicite un nombre de usuario único, una contraseña y una respuesta a un captcha al crear la cuenta. Después de eso, el cliente simplemente puede iniciar sesión con un nombre de usuario + contraseña. Si una cuenta es un bot de spam, puede bloquear el nombre de usuario y / o la dirección IP.

Alternativa 2: solo nombre de usuario

Si no te importa tener un nombre de usuario duplicado, puedes usarlo de esta manera. Simplemente, solicite un nombre de usuario y la respuesta a un captcha luego le da al usuario una cookie de sesión para autenticarlo después. Por supuesto, el bloqueo por nombre de usuario no es útil aquí y en su lugar, debe hacerlo por dirección IP o sesión de terminación.

Por lo que puedo decirte, no necesitas nada, excepto la posibilidad de que emita pares de nombre de usuario / contraseña .

Alguien se acerca a usted y le prueba su identidad de cualquier manera (lo mismo que tenía que hacer con la memoria USB) y usted genera y le da un nombre de usuario, una contraseña y una advertencia para que le notifique de inmediato si se los roban.

Twist

Puede hacerlo para que cualquiera pueda elegir un nombre de usuario y una contraseña, y el sistema los muestra como usuarios no verificados . Cuando le demuestran su identidad, luego los marca como usuarios verificados . Menos oneroso para usted, y las personas pueden elegir hasta qué punto confiar en los usuarios no verificados como deseen.

Básicamente, los dos sistemas son perfectamente equivalentes, excepto que en el primer escenario los usuarios no verificados simplemente no pueden publicar comentarios :-)

Un fuerte mecanismo de autenticación que es fácil para el usuario y proporciona una seguridad razonable sería defender una CA que no sea de confianza para nadie más que su aplicación. Emita a cada usuario un certificado con su UPN como la única entrada en la extensión SAN. Configure su aplicación para autenticar al usuario a través de su certificado e indique a cada usuario que instale el certificado en su almacén de claves con una clave privada inexportable (en Windows CAPI, esta es una casilla de verificación; en JKS, es automática; no está seguro cómo FF o Chrome hacen esto en plataformas que no son Windows).

Dado que solo el titular de la clave privada puede acceder, se ha demostrado que es la persona que está en el registro, o que la persona que está en el registro fue descuidada al proteger su clave privada. La revocación significa que su aplicación puede ver si alguien fue deshabilitado muy fácilmente, solo por solicitud de OCSP. El par de claves RSA es más fuerte que cualquier contraseña, y no tiene que almacenar su clave privada ni ninguna forma o derivación de su contraseña, por lo que atacarle no obtiene un acceso adverso a sus usuarios. Las fechas de caducidad integradas significan que usted tiene un mecanismo de rotación de contraseña forzado efectivo.

Proporcione una forma fácil para que un usuario solicite la revocación y el reemplazo.

Hay algunas maneras en que podrías identificar quién está comentando. Puede hacer que las personas vinculen cuentas de redes sociales, direcciones de correo electrónico de entrada y mucho más.