除了用户名/密码之外的安全性？

Question

我有一个 Web 应用程序，其安全性要求高于普通 Web 应用程序。当任何用户访问域名时，他们都会看到两个文本字段:一个用户名字段和一个密码字段。如果他们输入有效的用户/密码，他们就可以访问 Web 应用程序。标准的东西。

但是，我正在寻找超出此标准设置的额外安全性。理想情况下，这将是一个软件解决方案，但我也愿意接受硬件解决方案(硬件= key 卡)，甚至程序更改(例如，一次在密码键盘上使用密码)。

该网络应用程序的独特之处在于我们提前了解所有用户，我们创建他们的用户名和密码并将其提供给他们。从这个意义上说，我们可以确信用户名和密码是“强”的。

但是，我们的客户要求除此之外的额外安全性。有人对如何增加安全性的另一层复杂性有任何想法吗？

Answer 1

我公司使用PhoneFactor我们非常喜欢它。

我们还使用了Safeword Tokens过去。

然而，这并不是书中唯一的游戏。我首先用谷歌搜索“Two factor authentication”

OWASP guide to authentication是另一个好的起点。实际上，OWASP 是我寻找任何网络安全问题的第一个地方。