algorithm - 你将如何实现 'challenge' 问题？

Question

因此，在安全性非常重要的应用程序的情况下 - 如何实现挑战问题的想法。那就是……你会:

• 检测电脑IP是否变化，提出挑战题。
• 检测 cookie 是否丢失。
• 检测计算机名称是否不同。
• 上述方法的一些组合？

我目前正在一个外汇平台上工作...在 asp.net/c# 中并考虑如何实现此功能以获得最佳结果。我认为最好也是唯一的方法是检查 cookie 更改 - 因为如果我基于 ip - ip 可能由客户端的 isp 动态 - 而且如果我指望计算机名称那么它不是那么明亮，因为计算机可能被更多的用户使用……当然，如果我依靠 cookie，那么浏览器可能被不止一个人使用……但这就是为什么这是一项额外的安全措施，而不是非常密码/用户名认证。除了获取计算机名称(如果可能的话？？)+ cookie 更改似乎是最好的方法。我将其标记为 c#/java，因为这 2 个在身份验证和安全性方面非常普遍。10 倍!

Answer 1

facebook 做了一件我认为不错的事情...您可以启用一个选项让他们在您的浏览器中放置一个 cookie...对于您使用的每台计算机都是唯一的...然后如果有人在浏览器中没有 cookie登录到您的帐户，他们会向您发送一封电子邮件，让您知道...我认为他们会对未知计算机的源 IP 进行地理定位并将其也放入电子邮件中...因此，如果您住在美国，您就不会期待来自俄罗斯的登录。不是每个人都接受 cookie，但对于那些接受 cookie 的人来说，这个可选功能很棒，金融公司也应该这样做......

我的银行(以及许多其他银行)依赖于某种形式的常量 two factor auth可以像你最好 friend 的名字一样简单，或者如果他们像我的在线经纪人一样，超过一定余额阈值的高值(value)账户会获得一个基于时间的密码 token 。您必须先使用密码登录，然后再使用 token 号登录。

大多数金融网站都使用您选择在其网站上显示的托管图片作为您的密码登录...这有助于降低网络钓鱼损失的风险。