質問: 私の計画はこれらの攻撃にさらされているWebサイトの99%より安全ではありませんか? 私はREST APIを使ってモバイルやデスクトップブラウザ用の一種のソーシャルネットワークを開発します。 U2Fキーやハードウェアを購入するようユーザーに頼むことはできません(ただし、Chrome/Firefoxは現在ネイティブでサポートしているので、持っていればサポートすることを提案できます)。 大多数のユーザーが複数のWebサイトで同じパスワードを使用しているため、パスワードを要求したくありません。そのため、パスワードをクリアテキストで保存する、またはハッシュ化したが塩漬けにしていない、レインボーテーブルを使用してパスワードをクリアに取得するなど、弱いWebサイトをハッキングするのは簡単です。 私は彼が資格情報を失ったときにユーザーの身元を証明する必要がありますが、これは攻撃のベクトルを開くので、私はemail/smsによる古典的なOTPリンクを望みません。 /オタクしかし彼女は簡単に私は私のパスワードをリセットし、私のアカウントに接続するために«私は私のパスワードを忘れました»をクリックし、Mail/SMSアプリケーションに行きます) あなたの妻/家族/友人は一般的に答えることができるので、それはプライバシーの漏洩であり、そしてユーザーは常に使用される正確な言葉/構文を覚えていないので、私は登録に個人的な質問/答えを求めたくありません。 私はこれらの攻撃に抵抗するユーザーフレンドリーな方法を探します。 (だから、これらの攻撃にさらされているスキームを使うように言ってSTOPを止めてください) 私はスキームの提案があります、ここのほとんどの専門家は新しいスキームについて考えるのを好みません、しかし私が知っている既存のすべてのスキームはこれらの攻撃を解決しません:( 私の質問は簡単です: 私の計画はこれらの攻撃にさらされているWebサイトの99%より安全性が低いですか。 My scheme idea:
回答: いいえ、これは蒸し暑い混乱です。実際、この2FAとさえ呼ぶのは誤称です。実際に行ったことは、要因の1つを排除することです。これは、2要素認証よりもサイドチャネル認証に近いです。 適切な2番目の要素を持たないことに加えて、不要な複雑さと非標準のインターフェースを備えたシステムを作成しました。これは2つの異なる方法であなたを噛むでしょう。まず、ユーザーはシステムの使い方を知らないでしょう。第二に、あなたはそれをプログラムする方法がわかりません。 それは標準的ではないのであなたのユーザーは永遠に混乱するでしょう。システムに不慣れであるという理由だけで、彼らは間違いを犯して自分自身のセキュリティを危険にさらすでしょう。 それは標準的ではないのでまた間違いをするでしょう。セキュリティの各層を実装する負担はあなたにあります、そしてこの概念を使用して確立されたパターンがないのであなたは必然的にシステムを危険にさらすでしょう。これはあなた自身の暗号を転がすのに似ています。概念的な段階でも、衝突に強くないファイルの整合性チェックサムを使用して間違ったテクノロジを提案しました。しかし、ここでの問題はそれより深くなります。たとえあなたがそれを修正して適切なハッシュタイプを使用しようとしても、あなたが知らない、そして他のソフトウェアに組み込まれている標準的な緩和策を持っていないあらゆる種類の攻撃面を露出しています。ユーザーをパスワードフィッシングから保護するために、このファイルAPIの使用からユーザーを保護する方法はわかりません(この使用を念頭に置いて設計されたものではありません)。 この道を下りてはいけません。ユーザーのために、より確立されたパターンと通常の2FAに固執する。