Daher habe ich kürzlich mehr zweistufige Anmeldevorgänge erlebt, bei denen ich meinen Benutzernamen auf einer Seite und mein Passwort auf einer zweiten Seite eingeben muss. Ich mag dieses Muster wirklich nicht, da es ein zusätzliches Laden der Seite erfordert, nur um sich anzumelden.
Aber mir wurde von ein paar Leuten gesagt, dass es sicherer ist. Wie ist es sicherer? Gibt es andere Gründe, den Benutzer damit zu belästigen?
security
authentication
Daniel Bingham
quelle
quelle
Antworten:
Die echte Zwei-Faktor-Authentifizierung bietet eine weitere Sicherheitsstufe, indem Benutzer dazu gebracht werden, sich mit ihrem Benutzernamen und Passwort anzumelden und dann einen Code zu sagen, der auf ihrem Telefon oder über einen Karten- / Codegenerator generiert wurde (Barclays Bank hat Kartenleser gesendet, die einen einmal verwendeten Code basierend auf generieren Ihre Karte wischen.
Das Aufteilen des Benutzernamens und des Passworts auf zwei verschiedene Seiten bringt keine zusätzliche Sicherheit (AFAIK).
quelle
Der einzige Grund, warum ich gesehen habe, dass die zweistufige Anmeldung, wie Sie sie beschreiben, sicherer ist, besteht darin, dass der auf der ersten Seite eingegebene Benutzername mit einem Bild oder einer Phrase übereinstimmt, die der Benutzer bei der Registrierung auswählt. Dies hilft der Site, sich selbst zu verifizieren.
Wenn jemand Ihre Website zur Verwendung in einer Phishing-Kampagne kopieren würde, könnte er das Bild oder die Phrase nicht anzeigen. Es schützt den Benutzer, wenn er sein Passwort eingibt.
Wenn Sie keine zusätzlichen Kontosicherheitselemente von der ersten zur zweiten Seite aufrufen, ist es nicht sinnvoll, dies auf diese Weise zu tun.
quelle
Die einzige Argumentation, die ich finden kann, ist die Verhinderung automatisierter Angriffe.
Wenn sowohl der Benutzername als auch das Passwort auf einer Seite akzeptiert werden, ist es relativ einfach, ein automatisiertes Skript zu erstellen, das diese Seite mit Kombinationen aus Benutzername und Passwort hämmert, bis etwas durchkommt - aus offensichtlichen Gründen als "Brute Force" -Angriff bezeichnet.
Wenn Sie Ihren Benutzernamen auf einer Seite und Ihr Passwort auf einer anderen Seite eingeben, wird diese Art von Angriff schwieriger, aber nicht unmöglich. Es würde einen guten Job machen, einfache Angreifer fernzuhalten und Sie vor die meisten Websites zu stellen.
Sie sind zwar technisch nicht sicherer als Ihr Nachbar, gehören aber nicht mehr zu den niedrig hängenden Früchten.
quelle
Dies ist ein seltsamer Fall, aber wenn die Hauptwebsite unverschlüsselt bereitgestellt wird (wahrscheinlich aus Leistungsgründen), möchten Sie jedoch, dass Benutzer den Anmeldevorgang von dieser Seite aus starten können, anstatt auf einen "Anmelden" -Link zu klicken. Das unverschlüsselte Senden Ihres Benutzernamens ist keine große Sache, und dann können Sie den zweiten Teil der Anmeldeseite (das Kennwortfeld) über HTTPS bereitstellen.
Ich denke, es lohnt sich wahrscheinlich nicht (mehr Arbeit für Programmierer, mehr Arbeit für Benutzer, winziger Rückgang der Prozessorarbeitslast), aber einige Leute denken vielleicht, dass es sich lohnt.
Beispiel: First National tut dies auf ihrer Homepage.
quelle
Ich konnte nur diese ältere Dokumentation darüber finden, http://www.schneier.com/blog/archives/2005/10/us_regulators_r.html . Lange Rede, kurzer Sinn US-Banken und ich glauben, dass Kreditkartenunternehmen eine Zwei-Faktor-Authentifizierung für ihre Website-Anmeldeformulare verwenden müssen.
Wie der Beitrag bespricht, löst es das Problem nicht wirklich, sondern lässt Kriminelle nur noch einen Reifen haben, durch den sie springen können.
quelle
Das Akzeptieren von Benutzername und Passwort auf einer separaten Seite macht die Anwendung in keiner Weise sicherer. Ich bin daran interessiert zu wissen, auf welcher Website (n) Sie darauf gestoßen sind.
quelle
Meine Bank hat einen sehr guten Grund für die zweistufige Authentifizierung gefunden: Sie verfügt über drei Methoden zur Authentifizierung von Benutzern, die mir bekannt sind:
Sie verwenden eine zweistufige Anmeldung, damit sie wissen, über welche Art von Konto Sie verfügen, damit sie bei der Eingabe des Passworts Unterstützung bieten können. Wenn Sie ein Passwort eingeben müssen, werden Sie eindeutig nach einem Passwort gefragt. Wenn Sie Ihre Kryptokarte verwenden müssen, um einen eindeutigen Authentifizierungscode zu generieren, werden Sie nach dem Code gefragt und erhalten einen Hilfelink, der für Ihre Art von Karte spezifisch ist.
quelle
Ich würde sagen, es macht es weniger sicher. Weil Sie dann wissen können, dass Benutzer123 ein Konto auf der Site hat, und dann können Sie eine Brute Force für dieses Konto durchführen.
Es ist üblich, Personen niemals mitzuteilen, ob das Konto oder Passwort falsch ist. "Sie haben einen falschen Benutzernamen oder ein falsches Passwort eingegeben."
Das macht es viel schwieriger, Gewalt anzuwenden.
quelle