#passwords #security #crm
#пароли #Безопасность #crm
Вопрос:
Мы создаем приложение типа CRM, хотя это применимо к любому приложению, где есть «участники» и «персонал», например, сайт покупок, сайт знакомств, facebook и т.д.
В нашем приложении пользователи могут изменить свой пароль обычным способом, сбросив его с подтверждением по электронной почте. Пользователи также могут иметь более одного адреса электронной почты, связанного с их учетной записью.
Мы пытаемся решить, как предотвратить захват учетных записей персоналом, использующим систему. Мы хотим, чтобы сотрудники могли редактировать адрес электронной почты (потому что кто-то может позвонить и запросить изменение); проблема в том, что они могут просто изменить адрес электронной почты на тот, который они контролируют, и запросить повторную установку пароля от имени пользователя.
Есть ли какие-либо рекомендуемые наилучшие методы для этого?
Комментарии:
1. Вы должны доверять своим сотрудникам. Ведение журнала также может помочь.
Ответ №1:
Вы можете потребовать, чтобы пользователь также аутентифицировал действие другими способами, например, при изменении адреса электронной почты пользователю отправляется код подтверждения через текстовое сообщение, которое он должен где-то ввести.
Другим способом было бы разрешить доступ к учетной записи только в том случае, если определенная информация введена правильно. Это может быть информация об адресе или DOB. Маловероятно, что об этой информации можно догадаться по чему-то вроде имени или номера учетной записи.
Комментарии:
1. Для нас это информация, которую мы хотели бы, чтобы сотрудники видели. Проблема для нас в том, что сотрудники могут видеть все подробности о пользователе; но не определенные действия, которые пользователь выполняет (например, некоторые сделанные им заказы); поэтому информация о пользователе не будет секретной.
Ответ №2:
1) Добавьте один из этих глупых вопросов безопасности, таких как «Какой ваш любимый цвет?» и сохраните ответ в зашифрованном виде в базе данных. Сотрудники могут редактировать электронное письмо сколько душе угодно, но если они не знают ответа на секретный вопрос, система не позволит им изменить пароль. Если у вас есть опасения по поводу надежности персонала, то вам необходимо ввести что-то вне их контроля, что служит конечным шлюзом, прежде чем вы сможете изменить учетную запись пользователя.
Я полагаю, что простая реализация просто проверит, сбросил ли пользователь свой пароль. Если это так, при входе в систему он задает им секретный вопрос для «аутентификации», прежде чем разрешить им продолжить.
2) Ведение журнала, мониторинг и аудит. Запишите, какие учетные записи сотрудников обращались к форме изменения адреса электронной почты, какие адреса они изменили, что они также изменили и когда они их изменили. Также запишите информацию о подключении людей, получающих доступ к учетным записям. Если в ваших журналах показано, что один IP-адрес обращается к 4-5 совершенно разным учетным записям, вам может потребоваться изучить это. (Да, я знаю, что вы можете использовать прокси и т.д., Чтобы замаскировать это. Не идеально, но это довольно быстро отсеет плевелы).
3) Нанимайте надежных людей! # 2 действительно нужно использовать только как «проверку» на предмет злоупотреблений, а не как конец всего, чтобы остановить это.