Рекомендации по аутентификации веб-приложений в промышленных условиях

Спасибо за публикацию этой классной проблемы.

Находится ли устройство в контролируемой среде, где только авторизованные работники могут иметь к нему доступ? Низка ли вероятность кражи устройства, так как люди, имеющие к нему доступ, вряд ли будут его перемещать?

Иными словами, вас больше всего интересует идентификация, а не аутентификация? Если да, то как быстро определить, кто работает на компьютере, не мешая работе и не делая его слишком громоздким? Вам нужно идентифицировать человека, чтобы выполнить работу, или это просто предосторожность для последующего аудита, чтобы ответить на вопрос, кто это сделал?

Один из вариантов — использовать распознавание лиц или просто сделать снимок. Возможны другие биометрические данные, такие как голос и отпечаток пальца. Идентификационную карту или ключ можно передавать, их нужно выловить, чтобы использовать, и работник должен не забыть взять их с собой. Также можно легко поделиться булавкой или другим секретом. Снятие биометрических данных — надежный способ идентифицировать работника.

Можете ли вы сделать аутентификацию смарт-карты? Вот как мы делали это в старые времена. Это было где-то в 2006 году, на Windows XP. Считыватель смарт-карт был USB-устройством, авторизация была стандартной Windows со смарт-картой, однако я ничего не могу вспомнить о картах.

Войдите в систему, прочитав смарт-карту оператора, затем выполните авторизацию в сервисе. Если бордюр — это слишком старая школа, вы, вероятно, могли бы превратить аутентификацию ОС в ODDC без особых драм, используя что-то вроде Okta или Auth0.

В качестве альтернативы устройство может использовать одни и те же учетные данные для всех пользователей, но каким-то образом получить имя пользователя ОС из контекста запроса.

РЕДАКТИРОВАТЬ

Для некоторых более конкретных примеров этого:

• Вот статья Windows об аутентификации с помощью смарт-карты: https://docs.microsoft.com/en-us/windows/security/identity-protection/smart-cards/smart-card-how-smart-card-вход-работает-в-окнах У меня нет опыта работы с картами/кардридером, но обычно это хлеб с маслом для промышленных площадок, где пользователь должен следить за часами. вкл/часы выкл.

• После того, как пользователь аутентифицирован в ОС, нужно использовать этот контекст аутентификации, чтобы получить удобную для Интернета схему аутентификации.

  • You could also use SAML Federation between an IdP and ADFS/AzureAD which would allow you to issue a OAuth2 access token
  • Поддержка Okta может выполнять SSO (эффективно скрывая федерацию SAML) с помощью подключаемого модуля браузера: https://help.okta.com/en/prod/Content/Topics/Apps/Apps_Browser_Plugin.htm.

• Конечным результатом является то, что для пользователя, вошедшего в Windows, вы можете выдать токен доступа Oauth2/OIDC.

• Веб-приложение может использовать стандартную аутентификацию маркера доступа OAuth2.

Многое из этого не имеет ничего общего с веб-приложением, все дело в том, как взять контекст аутентификации ОС и использовать его, чтобы получить что-то нормальное для использования веб-приложением.

Удачи!

В промышленных условиях вам обычно требуется защищенное оборудование. Это довольно специализированный комплект, и обычно он намного дороже обычного вычислительного оборудования. В зависимости от окружающей среды вам могут понадобиться водонепроницаемые и пыленепроницаемые корпуса. Google предложит ряд вариантов. Незащищенное оборудование обычно не выдерживает суровых условий и может быстро или непредсказуемо выйти из строя.

Если вы хотите проверить, кто сделал определенные записи, вам понадобится какой-то механизм аутентификации. Биометрические входы в систему — отпечатки пальцев и т. д. — доступны на ряде устройств и упрощают вход в систему без ввода имени пользователя и пароля (которые часто являются общими). В этой модели пользователь аутентифицируется в операционной системе, а не в веб-приложении; склеивание их вместе выполнимо, но сильно зависит от вашей корпоративной системы управления идентификацией и фреймворков, которые вы используете для создания своего веб-приложения.

Другим вариантом является использование RFID-карт. Опять же, многие защищенные компьютеры поддерживают RFID-считыватели, которые могут считывать карты или физический объект в виде брелка. Это менее безопасно, чем биометрическая аутентификация, поскольку люди обмениваются картами. Опять же, аутентификация здесь находится на уровне операционной системы.

Преимущество использования инструментов аутентификации операционной системы заключается в том, что вы получаете выгоду от всей работы, проделанной для защиты доступа в различных средах. Например, большинство операционных систем позволяют вам установить политику блокировки экранов по истечении определенного времени ожидания (и неавторизованные пользователи не могут отменить это).

Встраивание аутентификации в веб-приложение также является вариантом, но биометрические решения AFAIK все еще немного эзотеричны для веб-приложений. Имя пользователя/пароль достаточно просто в большинстве фреймворков, и если вы установите короткое время ожидания сеанса, шансы того, что кто-то забудет выйти из системы и оставит браузер авторизованным, невелики. Недостаточно хорошо для кодов запуска ядерных вооружений, но для бизнес-приложения, вероятно, сойдет.

Вы также можете рассмотреть альтернативы аутентификации по имени пользователя/паролю без использования биометрии, например. пароль или опция распознавания изображений (вот 16 случайных изображений, которое является вашей бабушкой?). Насколько я знаю, это не стандартная функция в большинстве сред веб-разработки, поэтому вам придется создавать свои собственные.