2009-01-26 15 views
13

Supongamos que desea agregar una capa adicional de credenciales sobre un inicio de sesión/contraseña cifrado con SSL, pero no desea aumentar la complejidad para el usuario. ¿Hay alguna manera de agregar el requisito de la posesión de un dongle a los esquemas de autenticación del servidor web con las capacidades existentes del navegador multiplataforma?¿Cómo se puede hacer que un sitio web sea accesible solo cuando alguien tiene un dongle?

En otras palabras, para obtener acceso al sitio web, necesitaría un nombre de usuario, una contraseña y un dispositivo de seguridad USB que se haya conectado a la computadora del cliente. El dongle presumiblemente haría algún tipo de desafío/respuesta.

Sería ideal si esta solución de dongle funcionara con Firefox automáticamente o con la simple adición de un complemento.

Se agradecen los pensamientos y sugerencias.

+0

Cualquier tipo de protección contra copia realmente apesta. Incluyendo dongles. Los dongles son probablemente los peores del lote. Buena suerte con eso. – GeoffreyF67

+0

@ GeoffreyF67 ¿por qué el único caso de uso sería para la protección contra copia? Podría tratarse de seguridad adicional. – michaelmichael

+0

@michaelmichael: Muy bien. Mi preocupación al hacer esta pregunta no tiene nada que ver con la protección contra copia (y la protección contra copia nunca se me pasó por la cabeza, pero supongo que es un uso para los dongles). El acceso autenticado a la funcionalidad es la raíz de mis preocupaciones. –

Respuesta

19

Puede que le interese el Yubikey.

Se trata de un dongle USB pequeño que funciona como un teclado usb (es decir, no necesita controladores especiales o software de cliente) y está diseñado exactamente para este tipo de autenticación.

+0

¿Cómo propones que un navegador acceda a este hardware? – GEOCHET

+0

No es así: el dispositivo tiene un botón que el usuario presiona para autenticarse en el sitio web. –

+0

desear claves de producto fue así de fácil – ccook

8

Puede usar tokens RSA SecurID, que son pequeñas pantallas de llavero que cambian el número que se muestra cada minuto. Además de requerir el nombre de usuario y la contraseña, también puede solicitarles que ingresen el número que ven en su token para verificar que tengan el dispositivo de hardware con ellos. Hay varios dongles de hardware, algunos incluso requieren que se ingrese un PIN para ver el número cambiante. La complejidad adicional en el lado del servidor, pero el cliente no tiene demasiados problemas.

+0

¡Odio esto! Pero, ¡funcionan! ;) – Jason

1

Va a necesitar algo que tenga los derechos para acceder al dispositivo de seguridad. También existe el problema de hackearlo: las comunicaciones no podrán ocultarse, por lo que debes asegurarte de que no importen. Eso significa que el dongle tendrá que implementar su propio crpyto. También necesitarás soporte para los sistemas que vayas a admitir.

Veo que esto se vuelve muy complejo muy rápido.

2

También he usado el Yubikey con buenos resultados. Otra solución similar es el Swekey; es posible que desee verificarlo también.

2

He tenido buenos resultados al implementar la autenticación del sitio web y el inicio de sesión usando Dinkey Dongles y el sistema DinkeyWeb.

El usuario conecta el dongle de seguridad usb en su máquina, visita su página web "protegida" y valida el dongle antes de cargar la página. Funciona sin permisos especiales o privilegios.

Espero que ayude.

Cuestiones relacionadas