Seguridad más allá de un nombre de usuario/contraseña?

Question

Tengo una aplicación web que requiere seguridad más allá de la de una aplicación web normal. Cuando un usuario visita el nombre de dominio, se le presentan dos campos de texto, un campo de nombre de usuario y un campo de contraseña. Si ingresan un usuario/pase válido, obtienen acceso a la aplicación web. Material estándar

Sin embargo, estoy buscando seguridad adicional más allá de esta configuración estándar. Lo ideal sería una solución de software, pero también estoy abierto para la solución de hardware (hardware = llaveros), o incluso cambios de procedimiento (por ejemplo, contraseñas de uso único en un panel de contraseñas).

La aplicación web es única, ya que conocemos a todos nuestros usuarios por adelantado, creamos su nombre de usuario y contraseña y se la damos. En este sentido, podemos estar seguros de que el nombre de usuario y la contraseña son "fuertes".

Sin embargo, nuestros clientes han solicitado seguridad adicional más allá de esto. ¿Alguien tiene alguna idea sobre cómo agregar otra capa de complejidad a la seguridad?

Answer 1

Nuestra empresa usó PhoneFactor y nos encanta.

También hemos usado Safeword Tokens en el pasado.

Sin embargo, no es el único juego en el libro. Comenzaría por buscar en Google "Two factor authentication"

El OWASP guide to authentication es otro buen lugar para comenzar. En realidad, OWASP es el primer lugar en el que buscaría CUALQUIER pregunta de seguridad web.

Answer 2

Otra opción para la seguridad adicional es utilizar un pedazo de 'evidencia' física tal como una tarjeta inteligente: Protect Your Data Via Managed Code And The Windows Vista Smart Card APIs

Answer 3

Hay un montón de diferentes áreas que las aplicaciones web pueden tener su seguridad mejorada sucesivamente. Antes de comenzar, debe determinar exactamente cuáles son sus áreas problemáticas y en qué debe enfocarse.

Puede iniciar este proceso haciendo que un tercero realice pruebas de penetración (Pruebas de PEN) en su aplicación. Esto debería proporcionarle una lista rápida de cosas de las que puede ocuparse y, cuando tenga una calificación aprobatoria, es algo que debe usar en su literatura de ventas.

A continuación, querrá hablar con sus clientes para comprender lo que significan con "más seguridad". ¿Es simplemente autenticación de dos factores como David y Mitch mencionaron o están más preocupados por cosas como datos en movimiento (envenenamiento por ARP, SSL y similares), datos en reposo (todo desde cifrado de disco duro hasta encriptación de base de datos), autorización, suplantación (cross site y repetición), personal (verificaciones de antecedentes en curso sobre quién tiene acceso a las máquinas), etc.

El concepto de seguridad abarca una gran cantidad de terreno.