Một số cách đáng tin cậy để xác định thông tin đăng nhập đáng ngờ là gì?

Question

Tôi quan tâm đến việc triển khai tính năng trên ứng dụng web của tôi cảnh báo người dùng khi xảy ra đăng nhập đáng ngờ kể từ lần truy cập cuối cùng của họ.

Phản ứng đầu gối của tôi là sử dụng địa chỉ IP của khách hàng, nhưng sau khi thực hiện nghiên cứu của tôi, có vẻ như đây là một ý tưởng tồi tệ. Phân bổ động và NAT cho rằng điều này không đáng tin cậy.

Suy nghĩ thứ hai của tôi là sử dụng dịch vụ vị trí địa lý. Nhưng những cái tôi có thể tìm thấy là dựa trên IP hoặc ngoài phạm vi giá của tôi.

Suy nghĩ thứ ba của tôi là triển khai một cái gì đó như lời nhắc "Đăng ký thiết bị này" của Facebook, nhưng tôi không chắc chắn cách thức hoạt động này một cách đáng tin cậy.

Có ai có bất kỳ ý tưởng nào về cách tôi có thể xác định thiết bị hoặc vị trí với mức độ tin cậy hợp lý không?

Answer 1

Tùy thuộc vào quy tắc kinh doanh của bạn. Bạn có thể ghi điểm dựa trên một số yếu tố.

1. Không cùng một IP: 5
2. Không cùng subnet: 10
3. Không giống Quốc gia: +100
4. 3 hoặc nhiều hơn những nỗ lực trước thành công: 50
5. 2 hoặc nhiều thông tin đăng nhập cùng lúc: Trình duyệt 50
6. khác nhau hơn so với lần cuối cùng: +5

, vv

Sau đó, bạn có thể quy tắc thiết lập đó nói:

1. 0-20: Cho người dùng trên đăng nhập thành công tiếp theo của họ.
2. 21-50: Bắt đầu khiến họ đợi 5 phút giữa các lần đăng nhập.
3. 51-100: Khóa tài khoản và buộc họ mở khóa bằng xác nhận qua email.

Tôi sẽ luôn cho họ biết ngày cuối cùng và IP đăng nhập như gmail. Gmail cũng có lịch sử đăng nhập bạn có thể xem.