複数のパスワード、同じアカウント、異なる権限
現場のクライアントの多くは、多くの場合、信頼されていないコンピューターを使用してWebサイトのアカウントにアクセスする必要があります（4G/WiFiなし）。クレデンシャルが漏えいして複数の誤った販売と払い戻しが発生するという複数のケースがあり、さらに重要なことに、それらは非常に不便でした。
暫定的なものとして、私たちは各ユーザーに複数のパスワードを作成する-を検討しています。一方は完全なアクセス権を付与し、もう一方は旅行中に購入を許可せず、より厳密なセッションを持っている場合に使用できます要件。これは、これ以上投資する予定のないレガシーWebサイトであり、クライアントは技術恐怖症です。
これを行わない理由はありますか？
これを行わない理由はありますか？
はい、私はそれをしない2つの理由を考えます：
- ユーザーがフルアクセスパスワードを侵入先のマシンに誤って入力する可能性があります。
- ユーザーが侵入先のマシンにアクセスの低いパスワードを入力すると、攻撃者はユーザー名を知っている可能性があり、他のパスワードを総当たり攻撃しようとする可能性があります。これにより、攻撃者（一部）は、フルアクセスアカウントのユーザー名をまったく知らなかった場合よりも多くの情報を得ることができます。
とはいえ、提案した内容は、何も変更せず、侵害された可能性のあるマシンにフルアクセスでユーザーをログインさせるよりもおそらく良いでしょう。
考慮に値するもう1つのことは、同じユーザーに複数のパスワードを設定するのではなく、異なる権限を持つ複数のユーザーを設定することです。ユーザーが間違ったユーザー名でログインできるという点で少しだけ優れていますが、ユーザー名-[タブ]-パスワード-[入力]マッスルメモリを入力する場合に比べて、これが発生する可能性は少し低くなります。ただし、問題2は解決します。また、アカウントを無効にする必要がある場合や、ログインを追跡する場合は、別のユーザーを管理する方が簡単です。
その他の考慮事項：フルアクセスユーザーに特定のネットワーク/ VPNの外部へのログインを許可しない、以前に登録されたコンピューターへのフルアクセスログインのみを許可する（1回限りの2FA）、またはすべてのログインに（少なくとも）フル-2FAを要求するユーザーにアクセスします。
おそらく、最善の解決策は、信頼できないマシンを使用しないことです。ユーザーに自分のラップトップを持参してもらい、常にHTTPSを使用してもらいます。または、ネットワークも信頼できない場合は、独自のモバイルホットスポットを使用することもできます。
本質的な問題は、コンピューターが信頼されていないことです。同じ信頼されていないチャネルを通過する複数のパスワードは実際には役に立たず、クライアントを混乱させる可能性があります。
クライアントのスマートフォンのような信頼できるチャネルを介して2要素認証を追加することを強くお勧めします。 2FAは面倒で複雑である必要はありません。
機能をオプションにすることから始めますが、それを宣伝し、顧客に推奨します。フィードバックを収集し、2FAを有効にするクライアントが自分の資格情報を漏洩したかどうかを監査します。