Kim Stacks
2011-02-27 19:33:21 UTC
Meine lokale Bank verwendet eine 2-Faktor-Authentifizierung, bei der Kunden ein Passwort UND eine einmalige PIN eingeben, die per SMS an ein Mobiltelefon oder von einem Sicherheitstoken-Gerät übermittelt wird.
Ich bin es Ein Web-Startup im E-Commerce-Bereich durchführen.
Ich habe bereits https für wichtige Seiten wie die Anmeldung implementiert. Ich habe eine kostengünstige SSL-Zertifizierungsstelle mit den Initialen GD gewählt.
Dies mag in der Zukunft liegen, aber was ist für mich eine kostengünstige Lösung, um einen 2-Faktor zu implementieren Authentifizierung wie meine lokale Bank für meine Benutzer?
Welcher Anbieter würde eine kostengünstige Lösung bieten, genau wie ich mich für meine SSL-Zertifikate an GD gewandt habe?
@keisimone - Wenn Sie sagen, dass Sie https für wichtige Seiten implementiert haben, haben Sie sichergestellt, dass Sie in Ihrer https-Sitzung keine Token / Cookies usw. aus Ihrer http-Sitzung verwenden? Darüber hinaus müssen Sie möglicherweise Ihre Messung der „Kosteneffizienz“ erläutern, da dies sehr unterschiedlich sein kann. Betrachten Sie die RSA-Token nach Industriestandard als kostengünstige Hardwarelösung?
@Rory - Ich weiß nicht, ob ich keine Token / Cookies aus der http-Sitzung verwenden soll. Kannst du mir ein Beispiel geben? Klingt nach etwas, das ich vielleicht übersehen habe.
Ist es falsch, einfach zu sagen, dass kostengünstige Mittel so billig wie möglich sind, ohne die wichtigsten Sicherheitsaspekte der Implementierung der 2-Faktor-Authentifizierung zu beeinträchtigen?
@keisimone - Lesen Sie diesen Artikel über Feuerschafe kurz durch. http://en.wikipedia.org/wiki/Firesheep, was nützlich ist, wenn nicht 100% relevant. Wichtig ist, dass alle in der unverschlüsselten Sitzung verwendeten Elemente als anfällig eingestuft werden. Wenn Sie sich also bei einer sicheren Sitzung anmelden, sollten Sie neue Sitzungscookies für die sichere Sitzung erstellen.
@Rory Ich glaube nicht, dass irgendjemand RSA-Token als kostengünstig ansieht ... (Leistungsstarkes Produkt, aber die Kosten sind nicht die Stärke).
@AviD - Ich weiß, aber es war nur, um das OP dazu zu bringen, darüber nachzudenken, was ein vernünftiger Preis wäre.
@keisimone - Um sicherzustellen, dass Cookies nicht zwischen Sitzungen geteilt werden, müssen Sie (1) https-weit verwenden und (2) das SECURE-Flag für alle Cookies aktivieren.
@D.W. Ich habe einige Websites bemerkt, die manchmal HTTP-Verkehr zulassen, aber wenn es um die Checkout-Seite geht, verwenden sie https. Warum sollten sie das tun, wenn Sie sagen, dass der Weg, um sicherzustellen, dass Cookies nicht zwischen Sitzungen geteilt werden, die Verwendung von https auf der gesamten Website ist? Eine andere Frage. Was ist das Aktivierungs-SECURE-Flag für alle Cookies?
@keisimone - Viele Websites verwenden gemischte http / https, weil es billiger ist oder weil sie denken, dass es billiger sein wird (es ist möglicherweise nicht wirklich so), oder weil sie sich der Risiken nicht bewusst sind oder nicht glauben, dass ihnen schlimme Dinge passieren werden. Was das SECURE-Flag betrifft, googeln Sie "Was ist das sichere Flag für Cookies?" Und Sie finden viele Erklärungen (z. B. [1] (https://secure.wikimedia.org/wikipedia/en/wiki/HTTP_cookie#Secure_cookie) ), [2] (http://www.windowsitpro.com/article/security/are-your-web-application-cookies-secure-.aspx), [3] (http://www.cookiecentral.com/ faq / # 3.3)). Verwenden Sie Google - es ist Ihr Freund!
Vielen Dank, D.W. Ich wollte gerade eine Frage zu session.secure_cookie in den php.ini-Einstellungen stellen. Sieht so aus, als wäre es dasselbe wie die SECURE-Flagge. :) :)
@Rory,, das einen Code über SMS sendet, ist nicht wirklich 2 Faktor ... Es * ist * außerhalb des Bandes und erhöht somit die Sicherheit, aber ein zweiter Faktor ist es nicht.