Was Sie versuchen zu tun, ist zwecklos. Informationen können nicht enthalten sein. Sie können nicht verhindern, dass jemand Informationen weitergibt. Wenn sie ihre Anmeldungen nicht freigeben können, kopieren sie einfach &paste den Text. Wenn Sie copy&pasting deaktivieren (die gängigen Methoden hierfür können übrigens leicht umgangen werden), werden Screenshots erstellt. Wenn Sie einen Weg finden, Screenshots unmöglich zu machen (mir fiel keiner ein), werden sie sich gegenseitig vorlesen. Alles, was Sie erreichen, ist, die Benutzererfahrung für legitime Benutzer zu beeinträchtigen, ohne Missbrauch wirklich zu verhindern.

Wenn Sie diesen Weg jedoch wirklich beschreiten möchten, sollten Sie nach alternativen Möglichkeiten für den Fingerabdruck von Browsern suchen als nach IP-Adresse und Cookies. Es gibt viele andere Informationen, die ein Webbrowser auf jeder Seitenanforderung überträgt, und oft sind sie ausreichend eindeutig, um einen Benutzer zu identifizieren. Die Electronic Frontier Foundation hat eine interessante Demo mit ihrer Panopticlick -Website.

Folgende Techniken werden verwendet:

Beachten Sie, dass all diese Identifikationsmethoden aufgrund vieler von ihnen zu falsch negativen Ergebnissen neigen kann jederzeit geändert werden. Sie sollten einen Fingerabdruck nur dann als von einem neuen Gerät stammend betrachten, wenn sich mehrere Eigenschaften gleichzeitig drastisch ändern. Wenn der Unterschied zum vorherigen Geräteprofil gering ist, sollten Sie stattdessen den Gerätefingerabdruck stillschweigend aktualisieren.

Zusätzlich zu den vorhandenen Antworten möchte ich nur betonen, dass Cookies nicht als zuverlässiger, dauerhafter Speicher gedacht sind. Sie können bei vielen Gelegenheiten gelöscht werden, ohne die Zustimmung des Benutzers einzuholen, z. B. nach einem Browserabsturz, einem Upgrade oder einer Profilbeschädigung.

Sie können nicht einfach ein faire Warnung an Ihre Benutzer und erwarten Sie, dass diese die Cookies behalten. Es ist einfach nicht unter ihrer Kontrolle.

Was Benutzer wirklich davon abhalten könnte, ihre Anmeldeinformationen zu teilen, ist die Möglichkeit des Missbrauchs (z. B. werde ich Ihnen niemals mein SO-Passwort geben, nicht unbedingt, weil die Allgemeinen Geschäftsbedingungen dies sagen, aber weil du es missbrauchen kannst, indem du dich als ich ausgibst). Überprüfen Sie, ob die Schüler bereits über ein von der Schule verwaltetes Konto verfügen (z. B. Schul-E-Mail, Intranet usw.) und ob Sie die Authentifizierung an dieses vorhandene System delegieren können (damit sich die Schüler mit ihrer Schul-E-Mail anmelden können und Passwort als Anmeldeinformationen). Es ist unnötig zu erwähnen, dass die Schüler solche Anmeldeinformationen wahrscheinlich nicht mit Freunden teilen werden, damit sie den Laden sehen.

Abgesehen von der Tatsache, dass dies zwecklos ist, was bereits festgestellt wurde, gibt es einen zusätzlichen Weg, der in Betracht gezogen werden könnte: die obligatorische Zwei-Faktor-Authentifizierung. Wenn Sie von jedem Anmeldekonto verlangen, dass es ein 2FA-Token (Google Authenticator usw.) registriert oder einfach auf einen Bestätigungslink klickt, der über einen Seitenkanal gesendet wurde, wenn es sich um einen anderen Benutzer handelt, kann dies die Eintrittsbarriere erhöhen.

Wenn Ihre Frage lautet: "Funktioniert das?", lautet die Antwort "Nein". Ohne zusätzlichen Fingerabdruck ist es für Schüler ziemlich trivial, nur die Cookie-Daten zu teilen, wodurch Ihr Schema völlig machtlos wird. (Und wenn Sie zusätzliche Fingerabdrücke haben, benötigen Sie das Sitzungscookie nicht wirklich.)

Wenn Ihre Frage lautet "Ist das eine gute Idee?", Lautet die Antwort immer noch Nein. stark> Abgesehen davon, dass Sie nicht das erreichen, was Sie wollen, verursacht dies Probleme für legitime Benutzer. Dieses Schema ist in jeder messbaren Weise schlechter, als nur die Schüler zu bitten, die Konten nicht zu teilen.

Wenn Ihre Frage lautet: "Kann dies besser gemacht werden?" Entschuldigung, aber die Antwort ist immer noch nein. Einige Formen des Fingerabdrucks, wie in der Antwort von @Philipp erwähnt, können Ihnen dabei helfen, besser zu verfolgen, wie viele eindeutige Benutzer auf Ihre Inhalte zugreifen, und möglicherweise sogar zu steuern, wie viele direkt darauf zugreifen. Wie bereits erwähnt, handelt es sich um eine ungenaue Wissenschaft, die nicht vollständig korrekt ist.

Das Problem dabei ist jedoch, dass Ihr erklärtes Ziel nicht darin besteht, zu kontrollieren, wie viele Benutzer direkt auf die Informationen zugreifen ;; Es ist, wie viele überhaupt auf die Informationen zugreifen. Sie können dies manchmal über DRM schwieriger / ärgerlicher machen, aber es ist buchstäblich nicht möglich, die Daten mit technologischen Maßnahmen vollständig sicher einzuschränken. Sobald die Schüler Zugriff auf die Daten haben, können Sie sie nicht mehr daran hindern, diese Daten außerhalb Ihres Dienstes weiterzugeben. (Hinweis: Das Hinzufügen von DRM ist wahrscheinlich nicht nur ein viel größeres Projekt als erhofft, sondern es ist auch vor allem für Binärdaten wie ausführbare Dateien oder Videos nützlich. Wenn ein erheblicher Teil Ihrer privaten Daten Text ist, ist dies möglicherweise nicht der Fall in der Lage sein, überhaupt viel zu tun.)

Die beste Lösung besteht darin, die Schüler einfach zu bitten, dies nicht zu tun. Wenn Sie den Schülern keine privaten Daten anvertrauen können, sollten Sie die Daten überhaupt nicht verfügbar machen.

Wenn Sie immer noch entschlossen sind, dies zu tun (ich hoffe, Sie sind es nicht), ist meine Empfehlung, dass das Beste, auf das Sie hoffen können, darin besteht, fiktive Einträge aufzunehmen in den Daten, die programmgesteuert basierend auf den Benutzerkonten der Schüler generiert werden. Das hindert die Schüler nicht daran, Daten zu teilen, aber wenn die Daten irgendwo auftauchen, wo sie nicht sein sollen, haben Sie möglicherweise zumindest die Möglichkeit, herauszufinden, wer sie ursprünglich geteilt hat.

Sie erwähnen Netflix, aber es gibt wichtige Unterschiede zwischen Ihrem Vorschlag und Netflix. Netflix erzwingt ein Limit für die Gesamtzahl der Geräte, die gleichzeitig "vorautorisiert" werden können, dh wenn der Benutzer kein Kennwort oder keinen Autorisierungscode erneut eingeben muss, das Limit jedoch höher ist (war 6; kann jetzt 50 sein), und wenn der Benutzer das Limit erreicht, lehnt er die neue Autorisierung nicht ab, sondern deaktiviert nur das zuletzt verwendete Gerät. Außerdem wird ein Limit von nur einem Gerät (oder zwei oder vier, je nach Konto) erzwungen, das tatsächlich gleichzeitig ein Video streamt.

Beachten Sie auch, dass Sie nur ein Cookie verwenden, um ein Gerät zu identifizieren Ein Benutzer mit einem einzelnen Computer, der zwischen Browsern wechselt (z. B. IE und Firefox oder IE und Chrome oder IE und Opera oder Chrome und Firefox), verwendet anscheinend zwei Geräte. Wenn der Benutzer den technischen Support für eine Anwendung anruft und die Meldung "Cookies löschen" erhält (ein häufiger erster Schritt), wird anscheinend ein neues Gerät verwendet. Sogar die Android-Tablets meiner Kinder haben zwei Browser, den Android-Standardtablett und Chrome.

Wenn der "Inhalt" Bilder oder Text ist, ist es so gut wie unmöglich zu verhindern, dass er kopiert wird, im schlimmsten Fall von a Kamera auf den Bildschirm gerichtet.

Ihr Vorschlag weist also zumindest unter dem Gesichtspunkt der Benutzerfreundlichkeit einen offensichtlichen Fehler auf.

Lassen Sie mich damit beginnen: Ich glaube nicht, dass Ihre Lösung Ihnen in irgendeiner Weise dabei helfen wird, zu verhindern, dass sie das, was sich auf dieser Website befindet, mit Freunden teilen.

Warum?
Was ist, wenn sie eine Bildschirmfreigabe durchführen und ihnen dann zeigen, was sich auf dieser Site befindet? In Bezug auf das Teilen können Sie das nicht aufhalten. Sie können Screenshots machen, Inhalte ausdrucken, Videos aufnehmen usw.
Die Alternative
A: Eine Möglichkeit, dies zu tun, besteht darin, den Webshop auf nur zu beschränken im Schulnetzwerk, auf den Schul-PCs verfügbar sein. Der Grund, warum Sie dies tun möchten, ist, dass Sie:

1. steuern können, wer sich anmeldet.
2. Steuern Sie den PC und stellen Sie sicher, dass keine Inhalte freigegeben werden können.
ol>

Abgesehen davon können sie immer noch Bilder mit ihren Handys aufnehmen und auf diese Weise Inhalte teilen.

B: Der Aufwand und Die von Ihnen eingerichtete Sicherheit sollte in direktem Zusammenhang mit dem stehen, was Sie schützen möchten. Vielleicht möchten Sie die gesamte supersichere Web-App überdenken und es den Nutzern ermöglichen, sich regelmäßig anzumelden und dringend vom Teilen abzuraten. Sie können dann eine "Überprüfung" der Aktivität durchführen. Wenn Personen ihre Konten nicht auf legitime Weise verwenden, beschränken Sie den Zugriff über den Webshop.

Ich habe einen ähnlichen Mechanismus auf einer meiner stark frequentierten Websites mit kostenpflichtigen Inhalten implementiert. Ich habe es mit Browsersitzungs-Cookies erreicht. Das aktuelle Sitzungscookie wird in der Datenbank gespeichert. Wenn sich das aktuelle Cookie ändert, weil sich die Person von einem anderen Ort aus angemeldet hat, muss sich die erste Sitzung erneut anmelden. Dies würde nicht unbedingt die Freigabe von Anmeldeinformationen verhindern, verhindert jedoch, dass mehrere Benutzer die Site gleichzeitig verwenden. Wenn sich zwei oder mehr Benutzer dafür entscheiden, die Site gleichzeitig zu nutzen, muss sich jeder bei jedem Seitenbesuch ständig neu anmelden, was wahrscheinlich ärgerlich genug wäre, um dies zu verhindern. Irgendwann hat der ursprüngliche Kontoinhaber die Nase voll und ändert sein Passwort und teilt es nicht erneut.

Nachdem wir einige Tests mit dieser Funktion durchgeführt haben, haben wir uns entschlossen, es zu deaktivieren. Wir haben dies aus mehreren Gründen getan:

1. Die Funktion verursachte unseren vorhandenen Benutzern mehr Kopfschmerzen als ihre Nützlichkeit bei der Verhinderung der gemeinsamen Nutzung von Konten. Viele unserer Benutzer wollten unsere Website sowohl zu Hause als auch am Arbeitsplatz nutzen und möchten sich nicht mehrmals am Tag neu anmelden müssen. Es ist noch schlimmer, wenn sie es auf ihrem mobilen Gerät oder mit mehreren Browsern verwenden. Wir haben überlegt, die Anzahl der zulässigen Sitzungen zu erhöhen, haben uns aber dagegen entschieden.
2. Unser Produkt ist so günstig, dass die meisten Leute lieber auf eigene Rechnung bezahlen, als sich die Mühe zu machen, es zu teilen.
3. Wir Ich weiß, dass einige Leute teilen, und es ist uns einfach egal. Der größte Teil des Anteils, den wir sehen, stammt aus Ländern, in denen unser Produkt aufgrund seiner Einkommensstandards als teuer angesehen werden kann. Ich habe kein Problem damit, dass Freunde aus diesen Ländern zusammenkommen und als Team für unser Produkt bezahlen. Wir werden wahrscheinlich sowieso keinen Umsatz verlieren, wenn sich jeder Einzelne den Preis nicht selbst leisten könnte.
ol>

Etwas anders als die geringfügigen Antworten, aber ich schlage vor, dem Benutzerkonto einige sehr persönliche Informationen hinzuzufügen, damit der Schüler nicht sein / ihr Passwort teilen möchte.

Verknüpfen Sie beispielsweise ihr Konto mit der Datenbank für Schulnoten: Sie möchten nicht, dass jemand in Ihre Noten eintaucht. Fügen Sie außerdem Dinge wie Telefonnummer, Alter, Adresse, Elternnamen usw. hinzu. Diese können nicht vom Benutzer selbst , sondern nur von der zuständigen Schule geändert werden.

Meine Schule verwendet auch so: meine schule hat eine website, auf der sie aufsätze einreichen kann (zB) und um das teilen von passwörtern zu verhindern, verknüpfen sie diese mit ihrem zeitplan, marken, persönlichen details usw.

andere sagten, eine vollständige Identifizierung und Unterscheidung von Personen / Konten sei unmöglich . Viel Glück!

Was Sie vorschlagen, funktioniert nicht. Benutzer verwenden unterschiedliche Browser, wechseln in den Datenschutzmodus, melden sich bei einem Arbeitscomputer an, melden sich von ihrem Telefon aus an und melden sich ständig von einem anderen Computer an. Die Leute werden aufgefordert, ständig Cookies zu löschen, um andere Probleme zu beheben. Ich selbst habe mehrere Computer und benutze mehrere Browser. Ihre Website wäre für mich innerhalb von ein oder zwei Tagen völlig unbrauchbar. Ihre Website wird im Wesentlichen sehr schnell unbrauchbar und die Schüler werden Sie mit Anfragen bombardieren, sich ständig anzumelden. Cookies machen einen wirklich schrecklichen dauerhaften Speicherplatz, weil sie niemals dauerhaft sein sollten!

Netflix steuert tatsächlich, wie viele Dämpfe ein einzelner Benutzer gleichzeitig streamen kann. Aber sie tun dies aktiv und verlassen sich nicht nur einfach auf einen Cookie, der immer bestehen bleibt. Wenn Sie die Anzahl der Anmeldungen wirklich steuern müssen, müssen Sie die Anzahl der AKTIVEN Anmeldungen verfolgen. Das bedeutet, zu verfolgen, ob die Browserseite geöffnet ist, und nicht nur einen einfachen Cookie-Ansatz. Eine Möglichkeit, dies zu tun, besteht darin, Javascript auf Ihrer Website auszuführen, das aktiv einen Ping an den Server zurücksendet. Wenn der Ping nicht mehr empfangen wird, deaktivieren Sie diese Anmeldung.

Wenn Sie aktive Anmeldungen nicht nachverfolgen, befinden Sie sich in einer Welt voller Verletzungen. Sie denken vielleicht, Sie können dies für eine Weile vortäuschen, weil Sie klein sind, aber Ihre Website wird immer noch nicht verwendet werden können, und alles nur, weil Sie versuchen, zu verhindern, dass Personen Anmeldungen freigeben.

Stellen Sie sicher, dass die für jede Person eindeutigen Anmeldeinformationen Zugriff auf private Informationen gewähren, die die Person nicht mit anderen Personen teilen möchte. Kreditkarteninformationen, Noten, Privatadresse, Telefonnummer, private E-Mail-Adresse usw. Ermöglichen Sie Einkäufe, die dem Schüler später in Rechnung gestellt werden, aber an eine beliebige Adresse gesendet werden können. Und so weiter.

Dies stellt dann einen großen Anreiz für die Benutzer dar, ihre Anmeldeinformationen geheim zu halten, und überwacht sich selbst. Zum Beispiel wird niemand seine Bankdaten an eine andere Person weitergeben.

Dies kann nicht nur erreicht werden, indem die vertraulichen Informationen in der Anwendung bereitgestellt werden, sondern auch, indem die Wiederverwendung eines funktionierenden Logins erzwungen wird Ein anderes System, das diese Informationen bereitstellt - vielleicht sogar auf eine Art OpenID-Art.

Um auf die Idee zu reagieren, dass Schüler nicht sehr sicherheitsbewusst sind, bin ich überzeugt, dass es einen Weg gibt, dies zu tun das wird funktionieren. Fügen Sie die vertraulichen Informationen auf der Startseite und oben auf jeder Seite ein (oder zumindest einen Link, der direkt dorthin führt, groß und deutlich gekennzeichnet).

Jeder Schüler, der feststellt, dass seine Informationen verwendet werden oder seine Wenn Sie Ihr Konto ändern, müssen Sie sich beeilen, um Sie zu informieren und den Zugriff auf andere zu sperren.

Ein ähnliches Problem, das Amazon lösen musste, betrifft die Funktion " Haushalte". Mit Amazon können Sie Konten beitreten, um einige Vorteile von Amazon Prime zu nutzen (z. B. kostenloser 2-Tage-Versand). Es ist beabsichtigt, dass ein Haushalt Prime nur einmal kaufen muss. Dies kann jedoch offensichtlich missbraucht werden, wenn Personen Konten mit Freunden verbinden und die Kosten für Prime aufteilen können.

Amazon verringert dieses Problem durch Zahlungsmethoden Teil der freigegebenen Konten - so kann jeder, mit dem Sie einem "Haushalt" beitreten, auch Ihre Zahlungsmethoden anzeigen und verwenden. Ich weiß, dass ich ohne dies versucht wäre, Konten mit zufälligen Freunden zu teilen, aber jetzt, da die Zahlungsmethoden geteilt werden, bin ich plötzlich viel wählerischer, mit wem ich sie teile!

Viele Unternehmen verwenden einen Zwei-Faktor-Authentifizierungsansatz, bei dem der Benutzer einen SMS-Code für eine vorregistrierte Telefonnummer erhält, mit dem er sich bei der Eingabe von Anmeldeinformationen anmeldet.

Dies ist zwar eine Sicherheitsmaßnahme, hat dies jedoch Ein Nebeneffekt, der es schwierig (wenn nicht unmöglich) macht, Anmeldeinformationen für mehrere Benutzer freizugeben. Fügen Sie diesem Sitzungsablauf auch alle paar Stunden hinzu, je nachdem, wie häufig sich Benutzer auf Ihrer Website anmelden.

Sie können Cookies auch verwenden, um herauszufinden, ob bei einem Benutzer mehrere Sitzungen gleichzeitig angemeldet sind. Dies kann darauf hindeuten Der Benutzer hat seine Anmeldeinformationen geteilt.

Dies ist offensichtlich keine perfekte Lösung für Ihr Problem, aber es ist eine praktikable Lösung, die angewendet werden kann, um die Wiederverwendung von Anmeldeinformationen für mehrere Benutzer zu erschweren.

Sie können ein System entwickeln, in dem sich Benutzer mithilfe der biometrischen Überprüfung anmelden können. Z.B. Mit der Webcam kann ein Bild aufgenommen werden, und dann extrahiert die Software Daten aus den Daten, die für dieselbe Person eindeutig sind und sich über Zeitskalen in der Größenordnung von einigen Jahren nicht ändern.

Ich würde IP-Bereiche vorschlagen. Dies bietet einen ausreichenden Schutz gegen die gemeinsame Nutzung von Konten, ermöglicht jedoch weiterhin IP-Änderungen.

Der gültige IP-Bereich für den betreffenden Benutzer kann durch eine automatische Suche bei WHOIS ermittelt werden. (Tatsächlich ist WHOIS so konzipiert, dass automatische Suchvorgänge möglich sind.) Sie können dann eine IP wie 94.254.51.234 anfordern und eine Antwort wie 94.254.0.0 - 94.254.127.255 zurückerhalten. Anschließend fügen Sie der Authentifizierungsdatenbank den Eintrag "94.254.0.0 - 94.254.127.255" hinzu.

Dies muss nur jedes Mal erfolgen, wenn sich ein Benutzer von einem "nicht autorisierten" Gerät aus anmeldet, und die autorisierte Anzahl von Geräten ist kleiner als 2.

Zusätzlich können Sie festlegen, dass die Anmeldung von Schulcomputern "Immer kostenlos" ist, z. B. muss die Autorisierung nicht beeinflusst werden.

Dadurch wird die Das System spielt also keine Rolle, was der Benutzer auf dem Client-Computer tut (wie das Löschen von Cookies), und ermöglicht es dem Benutzer, sich von einer unbegrenzten Anzahl von Geräten in einem bestimmten Heim (wie Tablet, PC, Handy usw.) anzumelden.

Das Limit von 2 IP-Bereichen ist dann ziemlich gut, da sich der Benutzer normalerweise von zu Hause, vom Handy und von der Schule aus anmeldet. Dann wären Heim und Handy "autorisierte" Geräte, und die Schule ist ein "kostenloses" Gerät.

Eine andere Möglichkeit besteht darin, dem Benutzer einen Yubico U2F-Token zu geben (dieser wird bei Yubico für 18 US-Dollar verkauft), der ersetzt wird den Benutzernamen / das Passwort. Sie erhalten nur EINEN Token, und das Registrieren eines neuen Tokens kostet etwa 50 $. Dann ist es sehr viel schwieriger, den Zugriff zu teilen, als nur einen Benutzernamen / ein Passwort über das Telefon zu teilen. In Kombination mit der IP-Bereichsbeschränkung würde es sehr schwierig sein, den Zugriff gemeinsam zu nutzen.

BEARBEITEN: Kurz gesagt, Ihre Lösung ist schlecht. Hier ist eine Alternative.

...

Soweit ich weiß, handelt es sich um ein häufiges Problem, das auf ungewöhnliche Weise auftritt.

Multi-Faktor-Authentifizierung? Sie geben ihnen eine regelmäßige Anmeldung. Wenn sie versuchen, sich anzumelden, senden Sie ihnen Text mit einem zufälligen 5-stelligen (oder einem beliebigen) Code, den sie dann eingeben müssen.

Dies bedeutet, dass bei der Anmeldung zwei Faktoren berücksichtigt werden diese Person in:

• Etwas, das Sie kennen (der Benutzername & Passwort)
• Etwas, das Sie haben (das mit dem Konto verknüpfte Mobiltelefon).

Da es sich um eine Schule handelt, die möglicherweise vertrauliche Informationen enthält, sollte dieser Ansatz allgemein verwendet werden (da gemeinsam genutzte Laufwerke in der Schule häufig Fotos und dergleichen enthalten).

Dieser Ansatz ist recht einfach Implementierung über eine SMS-API.

HINWEIS: Zusätzlich kann ein E-Mail-Link mit einer Bestätigung funktionieren - ein Schmerz, aber wenn die Sicherheit von Kindern hier Ihre Priorität ist, sind Sie möglicherweise bereit, diesen Weg einzuschlagen.