雙因素認證機制

Question

我試圖模仿一個類似於RBS英國網站的系統。我實際上增加了一個實驗的安全性。所以我在入口頁面使用了工作人員ID和驗證碼機制，一旦用戶輸入了正確的工作人員ID和驗證碼，就會要求用戶名和密碼。所以我想知道一個安全的角度..有工作人員的身份證和Captcha一起是否有任何意義？或者解釋很簡單，只需要一件事來識別用戶。讓我知道你的意見。

困惑？那好吧。無論如何感謝你

Answer 1

這不是two factor authentication，因爲你只有一個因素 - 這個人「知道」的東西。你沒有的是這個人「擁有」的東西（如RSA令牌或移動電話），或者這個人「是」的東西（如生物指紋或虹膜掃描器）。

你做什麼有一個可用性的噩夢;員工ID + CAPTCHA +用戶名+密碼。除非您保護的是超級敏感的東西（在這種情況下，您需要查看真正的雙因素身份驗證），否則最好先實施強大的用戶名和密碼方案。

Answer 2

雖然您實際上增加了另一個密碼，但您並未真正提高安全性，因此您可以將其視爲使密碼更長，儘管是非祕密部分。要真正提高安全性，你應該添加他們必須擁有的東西，比如安全令牌或智能卡，而不是要記住更多的事情。

Answer 3

如果您的安全真的需要雙因素身份驗證，您應該明確a）正確執行b）使用現有供應商的安全令牌產品。

當然歷史上secureID一直是主要的供應商，它的標記通常顯示不斷變化的基於時間的僞隨機數。然而，其他可用的，其安全性已被公開批評。

但是如果沒有明確的策略和體系結構，你就無法做到這一點。如果沒有運營或支持人員要求，您不能堅持雙因素認證，這可能會涉及一些基礎設施更改，您的運營工程師也會購買。