Hier gibt es keine "eine Antwort passt für alle". Wenn es sich lediglich um eine Social-Media-App handelt, reicht es möglicherweise aus, gleichzeitige Sitzungen zuzulassen, bietet aber auch die Möglichkeit, eine oder alle Sitzungen zu beenden, wenn das Konto gefährdet ist. Für viele Arten von Spielen bedeutet gleichzeitiger Zugriff Betrug. Daher sollte er wahrscheinlich nicht zugelassen oder zumindest so gestaltet werden, dass das Konto nicht betrügen kann (z. B. kann es mehrere latente Sitzungen geben, aber nur eine aktive Sitzung). Für Systeme mit vertraulichen Informationen wie HIPAA- oder GDPR-bezogenen Informationen sollte wahrscheinlich 2FA erforderlich sein, kurze Sitzungszeiten und gleichzeitige Anmeldungen sollten wahrscheinlich nicht zulässig sein.

Wichtig ist hier der gesunde Menschenverstand. Sie müssen sich fragen: "Was ist das Schlimmste, was passieren kann, wenn gleichzeitiger Zugriff zulässig ist?" und "Was würde der Benutzer von einer solchen Funktion profitieren?" Wenn die Nachteile die Vorteile überwiegen, tun Sie es nicht. Wenn das Risiko zu hoch ist, tun Sie es nicht. Wenn es für den Benutzer bequemer ist, sollten Sie in Betracht ziehen, gleichzeitige Anmeldungen zuzulassen, möglicherweise mit einigen Einschränkungen, z. B. wenn jeweils nur eine Sitzung aktiv ist, oder die Sitzungsverwaltung Sitzungen deaktivieren zu lassen. In jedem Fall sollte 2FA wahrscheinlich verfügbar sein, falls dies nicht erforderlich ist .

Gleichzeitige Anmeldungen sollten unbedingt zulässig sein. Hier sind zwei konkrete Beispiele, die veranschaulichen sollten, warum:

1. Stellen Sie sich vor, wenn Sie iCloud / iMessage / Gmail / Google Drive auf Ihrem Computer verwenden, wurde Ihr Apple- oder Google-Konto auf Ihrem Telefon abgemeldet und umgekehrt
2. Stellen Sie sich vor, wenn Sie durch die Synchronisierung von Dropbox auf Ihrem Laptop auf Ihrem Desktop abgemeldet wurden.
ol>

Randnotiz: Da Bildschirmschließfächer vorhanden sind, sollten Sie Ihre 1- Stunden-Timeout auch. Stellen Sie sich erneut vor, Google Mail hätte dies.

Ob Sie gleichzeitige Anmeldungen zulassen oder nicht zulassen möchten, hängt stark vom Bedrohungsmodell Ihrer Anwendung ab. Normalerweise würde ich sagen, dass für Anwendungen mit höherem Risiko (z. B. Online-Banking oder andere Transaktionen) das Nichtzulassen gleichzeitiger Anmeldungen wahrscheinlich gerechtfertigt ist.

In Bezug auf den Sicherheitsvorteil besteht das Hauptproblem darin, gleichzeitige Anmeldungen nicht zuzulassen Dies kann das Risiko verringern, dass ein Sitzungsentführungsangriff lange andauert.

Wenn ein Angreifer beispielsweise ein Sitzungstoken stehlen kann und Sie gleichzeitige Anmeldungen nicht zulassen, wird dieser ungültig, wenn Der Benutzer hat sich erneut angemeldet.

Ein weiterer möglicher Vorteil besteht darin, dass ein Benutzer sich auf einem freigegebenen PC angemeldet lässt und diese Sitzung bei der nächsten Anmeldung ungültig macht, wodurch das Risiko verringert wird, dass ein anderer Benutzer dieses PCs Zugriff auf seinen PC erhält Sitzung.

Der Nachteil ist, dass Benutzer nicht gerne aufgefordert werden, sich häufig erneut zu authentifizieren, insbesondere wenn dies ein Prozess mit hoher Reibung ist.

Es ist unwahrscheinlich, dass gleichzeitige Sitzungen eine Bedrohung darstellen. Das Stoppen kann jedoch unpraktisch und aus Sicherheitsgründen tatsächlich schädlich sein.

Beispiel: Angenommen, ein Angreifer hat Zugriff auf ein Konto erhalten, besteht die einfachste Lösung darin, das Kennwort dieses Kontos zu ändern. Was aber, wenn sich der Benutzer nicht anmelden konnte, um das Kennwort zu ändern, weil die Sitzung bereits an einer anderen Stelle aktiv war? Der Benutzer ist jetzt vollständig gesperrt und der Hacker hat uneingeschränkten Zugriff.

Ein System, bei dem die vorherige Sitzung stattdessen abgemeldet wird, ist möglicherweise etwas besser, aber nicht viel. Der Angreifer kann jederzeit einen Bot veranlassen, sich von Zeit zu Zeit anzumelden und dem Kontoinhaber einen Denial-of-Service zu verursachen. Dies würde den Benutzer wahrscheinlich glauben lassen, dass es einen Fehler im System gibt, anstatt dass sein Konto entführt wurde, und daher ist es weniger wahrscheinlich, dass sein Kennwort zurückgesetzt wird oder andere Maßnahmen ergriffen werden.

Stattdessen ein System, in dem Sitzungen stattfinden kann vom angemeldeten Benutzer angezeigt werden, wäre viel effektiver, da eine verdächtige Sitzung gemeldet und geschlossen werden könnte und der Benutzer dann wissen würde, wie er seine Anmeldeinformationen ändern muss.

Natürlich eine Sitzung nacheinander Zeitsysteme sind nützlich, aber hauptsächlich, um Betrug in Spielen usw. zu verhindern. In Kombination mit ablaufenden Sitzungen, IP-Überprüfung von Sitzungen und dem Anzeigen aktiver Sitzungen durch den Benutzer sollten gleichzeitige Sitzungen absolut sicher sein.

Die Benutzersicherheit wird von zwei Systemen geregelt:

• Anmeldeinformationen : Wenn jemand das Kennwort des Benutzers stiehlt, werden gleichzeitige Anmeldungen nicht zugelassen (neue Geräte nicht akzeptiert), wird helfen. Aber eine bessere Idee ist, 2fa zu haben. Wenn der Benutzer sein Kennwort absichtlich weitergibt, bietet die gleichzeitige Anmeldung nur einen geringen Sicherheitsvorteil (da sich der Benutzer abmelden und die andere Person anmelden kann).

• Sitzungsmanagement : Hier besteht das größte Risiko darin, dass Sitzungstoken gestohlen werden können. In diesem Fall verwenden mehrere Geräte dieselbe Sitzung. Für Ihr Backend ist dies also immer noch nur eine gleichzeitige Anmeldung.