Jadi saya baru-baru ini mengalami lebih banyak proses login dua langkah, di mana saya diminta untuk memasukkan nama pengguna saya di satu halaman dan kata sandi saya di detik. Saya benar-benar tidak menyukai pola ini, karena ini membutuhkan pemuatan halaman tambahan hanya untuk login.
Tetapi saya telah diberitahu oleh beberapa orang bahwa itu lebih aman. Bagaimana ini lebih aman? Apakah ada alasan lain untuk membuat pengguna tidak nyaman dengan ini?
security
authentication
Daniel Bingham
sumber
sumber
Jawaban:
Nyata dua faktor otentikasi memperkenalkan tingkat keamanan lain dengan mendapatkan pengguna untuk login dengan username dan password mereka dan kemudian mengatakan kode yang dihasilkan di ponsel mereka atau melalui generator kartu / kode (Barclays Bank dikirim pembaca kartu yang menghasilkan penggunaan sekali kode berdasarkan gesek kartu Anda.
Membagi nama pengguna dan kata sandi ke dua halaman berbeda tidak menambah apa pun dalam hal keamanan tambahan (AFAIK)
sumber
Satu-satunya alasan saya melihat login dua langkah saat Anda menjelaskannya lebih aman adalah jika nama pengguna yang dimasukkan pada halaman pertama dicocokkan dengan beberapa jenis gambar atau frasa yang dipilih pengguna saat mereka mendaftar. Ini membantu situs memverifikasi sendiri.
Jika seseorang menyalin situs Anda untuk digunakan dalam kampanye phishing, mereka tidak akan dapat menampilkan gambar atau frasa. Ini melindungi pengguna ketika mereka memasukkan kata sandi mereka.
Jika Anda tidak menarik item keamanan akun tambahan dari halaman pertama ke halaman kedua, maka tidak ada gunanya melakukannya dengan cara itu.
sumber
Satu-satunya alasan yang dapat saya pikirkan adalah mencegah serangan otomatis.
Saat nama pengguna dan kata sandi diterima pada satu halaman, relatif mudah untuk membuat skrip otomatis yang akan menggedor halaman itu dengan kombinasi nama pengguna dan kata sandi sampai sesuatu melewati - disebut serangan "Brute force", untuk alasan yang jelas.
Memasukkan nama pengguna Anda di satu halaman dan kata sandi Anda dimasukkan di halaman lain akan membuat serangan semacam ini lebih sulit, tetapi bukan tidak mungkin. Ini akan melakukan pekerjaan yang bagus untuk mencegah penyerang sederhana, dan menempatkan Anda di depan sebagian besar situs.
Meskipun secara teknis Anda tidak lebih aman daripada tetangga Anda, Anda bukan lagi buah yang mudah digantung.
sumber
Ini adalah kasus yang aneh, tetapi jika situs utama disajikan tidak terenkripsi (karena alasan kinerja mungkin), tetapi Anda ingin pengguna dapat memulai proses login dari halaman itu, alih-alih mengklik tautan "masuk". Mengirim nama pengguna Anda yang tidak dienkripsi bukanlah masalah besar, dan kemudian Anda dapat melayani bagian kedua dari halaman login (bidang kata sandi) melalui HTTPS.
Saya pikir itu mungkin tidak sepadan (lebih banyak pekerjaan untuk programmer, lebih banyak pekerjaan untuk pengguna, sedikit penurunan beban kerja prosesor), tetapi beberapa orang mungkin berpikir itu berharga.
Contoh: First National melakukan ini di beranda mereka.
sumber
Saya hanya dapat menemukan dokumentasi yang lebih lama tentang ini, http://www.schneier.com/blog/archives/2005/10/us_regulators_r.html . Singkat cerita Bank AS dan saya percaya perusahaan Kartu Kredit diharuskan menggunakan otentikasi dua faktor untuk formulir masuk situs web mereka.
Ketika pos itu membahasnya tidak benar-benar menyelesaikan masalah, itu hanya membuat penjahat memiliki satu simpai lagi untuk dilewati.
sumber
Menerima nama pengguna dan kata sandi pada halaman terpisah tidak membuat aplikasi lebih aman dengan cara apa pun. Saya tertarik mengetahui situs web mana yang Anda temui ini?
sumber
Bank saya menemukan alasan yang sangat bagus untuk menggunakan otentikasi dua langkah: Mereka punya 3 metode otentikasi pengguna yang saya tahu:
Mereka menggunakan login dua langkah sehingga mereka tahu jenis akun yang Anda miliki sehingga mereka dapat menawarkan bantuan saat memasukkan kata sandi. Jika Anda perlu memasukkan kata sandi, mereka jelas meminta kata sandi. Jika Anda perlu menggunakan kartu crypto Anda untuk menghasilkan kode autentikasi yang unik, mereka meminta kode tersebut dan memberikan tautan bantuan khusus untuk jenis kartu Anda.
sumber
Saya akan mengatakan itu membuatnya kurang aman. Karena Anda kemudian dapat mengetahui bahwa user123 memiliki akun di situs tersebut, dan kemudian Anda dapat melakukan kekerasan pada akun itu.
Praktik standar adalah jangan pernah memberi tahu orang lain jika akun atau kata sandi salah.
membuatnya jauh lebih sulit untuk brute force.
sumber