Re: [ml] Autenticazione "2-factor" semplificata!

Ciao


> Abbiamo una semplice applicazione Windows client server/scritta in
> VS2003/Framework.NET che si appoggia su un SQL server remoto, per la quale
> un cliente ci ha richiesto che oltre a user e password, vi sia
> autenticazione tramite "something that you have", ovvero un dispositivo
> fisico da collegare ad esempio alla porta USB.
qui dipende da quanto puoi/vuoi spendere e alla complicazione che devi
dare all'autenticazione

> E' richiesto:
> - un dispositivo per ogni utente
> - che il dispositivo non possa essere facilmente duplicato (!)
> - possibilmente protetto tramite un PIN
> - funzioni in ambiente Windows
> - che gli utenti usino il proprio token su più computer o su di un computer
> che più utenti possano accedere con i loro token.
ne vedo di diversi:
 - sistemi web autentication tipo eutronics, rsa, ca
 - sistemi di firma digitale tipo schlumberger, poste, infocamere, ecc.

> Vorremmo implementare un sistema "semplice" che soddisfi i requisiti senza
> costruire un "immenso castello" che abbia un grosso impatto sulla nostra
> attuale infrastruttura e che ci comporti grandi sforzi di implementazione.

> Idee? :-)
come dicevo esitono soluzioni gia' pronte e funzionanti, dipende da cosa e
quanto vuoi spendere.
Si puo' utilizzare un TOKEN usb o un dispositivo SmartCard (con le stesse
o simili funzionalita') che possono essere gestiti tramite sistema 
proprietario
di gestione firma/certificato digitale contenuto nel dispositivo e/o con 
sistema
LDAP per l'autenticazione (associando utente <=> certificato)

per quanto riguarda l'architettura, vista la richiesta del dispositivo, è
necessario che il sistema C/S abbia una crittografia di fondo HTTPS o in
alternativa si puo' attivare un tunnel crittografico tramite SSH utilizzando 
il
certificato del dispositivo e attivare un ulteriore autenticazione per la
applicazione WEB.

Le complicazioni a tale architettura... quante ne vuoi in relazione al 
rapporto
facilita' utilizzo/sicurezza da raggiungere

> Grazie in aticipo.
de che

> Gabriele.
ciao
Stefano





________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List