Ok, sikkerheds-kloge personer: jeg har fået en ide om at lave et kunde-område, hvor mine kunder kan logge ind, lægge ordrer og downloade de færdige e-bøger.
-
Ok, sikkerheds-kloge personer: jeg har fået en ide om at lave et kunde-område, hvor mine kunder kan logge ind, lægge ordrer og downloade de færdige e-bøger. Jeg kan godt lave selve sitet og koble det på min backend.
Men login. Hvad skal jeg være opmærksom på? Er der allerede eksisterende libraries/andre løsninger som er fine nok at bruge? Hvad har jeg ikke tænkt på?
(jeg ved endnu ikke hvad jeg laver frontenden i, men jeg overvejer python+fastui fordi jeg kender det)
@infonauten login basics:
* kodeord skal hashes før de opbevares, mindst med SHA256 — SHA1 er ikke sikkert nok
* test af om kodeordshash matcher skal gøres med en kryptografisk sikker funktion, der ikke er sårbar overfor timing-attacks. Simpel streng sammenligning er ikke godt nok.
* Ved nulstilling af kodeord skal der sendes en engangs-kode til brugerens mail; engangs-koden skal være ugyldig efter kort tid (fx 60 minutter)
* Krav om specialtegn er ubrugeligt; minimumslængde er vigtigt. -
@infonauten login basics:
* kodeord skal hashes før de opbevares, mindst med SHA256 — SHA1 er ikke sikkert nok
* test af om kodeordshash matcher skal gøres med en kryptografisk sikker funktion, der ikke er sårbar overfor timing-attacks. Simpel streng sammenligning er ikke godt nok.
* Ved nulstilling af kodeord skal der sendes en engangs-kode til brugerens mail; engangs-koden skal være ugyldig efter kort tid (fx 60 minutter)
* Krav om specialtegn er ubrugeligt; minimumslængde er vigtigt.@infonauten jeg ved ikke hvor meget du allerede ved, eller hvor dybt du selv går ned i det, så jeg lukker bare op for slusen af min viden of login-sikkerhed
* Fejlen ved ugyldigt password og ukendt brugernavn bør være identisk, fx: "brugernavn og kodeord matcher ikke". Ellers kan en angriber afgøre hvilke brugernavne, der er aktive, og fokusere angreb på deres passwords.
* Tilsvarende bør "glemt password" funktion ikke fortælle browseren om brugeren findes, men få overholder det råd.
-
@infonauten Hvis du alligevel er i gang med Python, vil jeg straks anbefale min egen foretrukne hammer, som jeg slår alt jeg kan overbevise mig selv om er søm i med: #Django.
Der får du foræret authentication (og alverdens andre lækkerier) af folk klogere end dig og mig.
@decibyte jeg har faktisk kigget på Django for 100 år siden, måske jeg skal kigge igen. Tak.
-
@infonauten Prøv at spørge dine kunder hvilken brugeroplevelse de foretrækker.
Vil de bare have et brugernavn/password elelr vil de gerne kunne koble det til en eksisterende konto?
MitID er for dyrt, så det er et no-go. Men de fleste andre eksisterende konto-forslag bør måske kunne gøres med et standard Oauth library.
@pmakholm det er en god pointe med kunderne, men jeg tænker at en god del af dem er relativt "ucheckede" på den måde, altså små 1-2 personers con amore-projekter, som alligevel bare bruger deres gmail til alt. Men jeg vil have overvejelsen med, så tak for spille den på banen.
-
@infonauten jeg ved ikke hvor meget du allerede ved, eller hvor dybt du selv går ned i det, så jeg lukker bare op for slusen af min viden of login-sikkerhed
* Fejlen ved ugyldigt password og ukendt brugernavn bør være identisk, fx: "brugernavn og kodeord matcher ikke". Ellers kan en angriber afgøre hvilke brugernavne, der er aktive, og fokusere angreb på deres passwords.
* Tilsvarende bør "glemt password" funktion ikke fortælle browseren om brugeren findes, men få overholder det råd.
@zatnosk det er meget brugbart, mange tak!
-
Og sig også gerne til mig hvis det er en dårlig ide! Jeg får INTET modspil fra min chef eller udviklingsafdelingen.
@infonauten hvilket problem forsøger du at løse med det?
-
@pmakholm det er en god pointe med kunderne, men jeg tænker at en god del af dem er relativt "ucheckede" på den måde, altså små 1-2 personers con amore-projekter, som alligevel bare bruger deres gmail til alt. Men jeg vil have overvejelsen med, så tak for spille den på banen.
@infonauten Hvis de bogstavlig talt bruger gmail til alt, så tror jeg at en "login med Gmail" mulighed vil gøre dem glade.
Jeg tror det er let i Django og andre store frameworks.
Men selvfølgelig skal der være en mulighed for fornuftige folk der ikke bruger gmail til alt. Det ville være rart hvis det virkelig var en troværdig "få en gratis konto her og brug den"-udbyder.
-
@decibyte jeg har faktisk kigget på Django for 100 år siden, måske jeg skal kigge igen. Tak.
@infonauten Jeg kender en du kan spørge, hvis der er noget
-
Ok, sikkerheds-kloge personer: jeg har fået en ide om at lave et kunde-område, hvor mine kunder kan logge ind, lægge ordrer og downloade de færdige e-bøger. Jeg kan godt lave selve sitet og koble det på min backend.
Men login. Hvad skal jeg være opmærksom på? Er der allerede eksisterende libraries/andre løsninger som er fine nok at bruge? Hvad har jeg ikke tænkt på?
(jeg ved endnu ikke hvad jeg laver frontenden i, men jeg overvejer python+fastui fordi jeg kender det)
@infonauten Hvis jeg var en sej ebogs hobbit ligesom dig ville jeg starte med at spørge mine kunder om de overhovedet kan/vil bruge en selvbetjeningsløsning.
Hvis ja, så ville jeg undersøge om de har krav til onboarding, SSO, adgangsstyring, opbevaringstidsrum, sikkerhedskopiering, genetablering, exit/slettekrav, både af brugere og projekter.
Jeg ville benytte et magic-link system med salt+hashes af email adresser; ellers benyt Argon2 til kodeord.
1/?
-
@infonauten Hvis jeg var en sej ebogs hobbit ligesom dig ville jeg starte med at spørge mine kunder om de overhovedet kan/vil bruge en selvbetjeningsløsning.
Hvis ja, så ville jeg undersøge om de har krav til onboarding, SSO, adgangsstyring, opbevaringstidsrum, sikkerhedskopiering, genetablering, exit/slettekrav, både af brugere og projekter.
Jeg ville benytte et magic-link system med salt+hashes af email adresser; ellers benyt Argon2 til kodeord.
1/?
@infonauten Et magic-link fjerner dine bekymringer om at 400.000 IP adresser hver prøver én kombo af email + pw, password reset.
Samt ved et læk skal der alligevel arbejdes for at fremtrylle brugbare email adresser til videre angreb.
-
@infonauten hvilket problem forsøger du at løse med det?
@svuorela det er primært et egoistisk problem.
Lige nu er processen at de sender mig en mail, enten med attachments eller noget wetransfer. Så holder jeg styr på det hele i noget mappestruktur + database til metadata. Det vil være en enorm lettelse for min adhd-hjerne at automatisere ingest af filer, metadata og deadlines direkte ind i mit nye system.
Kunderne får mulighed for nemt at checke hvad de har bestilt og hvor langt det er i processen.
På sigt kan det også håndtere distribution. -
@infonauten Jeg kender en du kan spørge, hvis der er noget
@decibyte noteret
-
@infonauten Hvis de bogstavlig talt bruger gmail til alt, så tror jeg at en "login med Gmail" mulighed vil gøre dem glade.
Jeg tror det er let i Django og andre store frameworks.
Men selvfølgelig skal der være en mulighed for fornuftige folk der ikke bruger gmail til alt. Det ville være rart hvis det virkelig var en troværdig "få en gratis konto her og brug den"-udbyder.
@pmakholm gmail var bare et eksempel, fordi jeg lige har skrevet med en der brugte det
-
@svuorela det er primært et egoistisk problem.
Lige nu er processen at de sender mig en mail, enten med attachments eller noget wetransfer. Så holder jeg styr på det hele i noget mappestruktur + database til metadata. Det vil være en enorm lettelse for min adhd-hjerne at automatisere ingest af filer, metadata og deadlines direkte ind i mit nye system.
Kunderne får mulighed for nemt at checke hvad de har bestilt og hvor langt det er i processen.
På sigt kan det også håndtere distribution.@infonauten Dejligt at du har et behov - det var bare ikke helt klart fra første post.
Min første tanke var at det bare ville give en forventning hos kunderne om at de altid senere kunne downloade igen og dermed give dig en for-evigt-opgave med at holde styr på det.
-
@infonauten Et magic-link fjerner dine bekymringer om at 400.000 IP adresser hver prøver én kombo af email + pw, password reset.
Samt ved et læk skal der alligevel arbejdes for at fremtrylle brugbare email adresser til videre angreb.
@infonauten I det hele taget vil det være en omfattende affære at udvikle og styre, især SSO-delen (som alle andre på internettet tager sig ekstra godt betalt for) så jeg ville få kunderne til at vise deres interesse med penge. Hver måned.
-
@infonauten Hvis jeg var en sej ebogs hobbit ligesom dig ville jeg starte med at spørge mine kunder om de overhovedet kan/vil bruge en selvbetjeningsløsning.
Hvis ja, så ville jeg undersøge om de har krav til onboarding, SSO, adgangsstyring, opbevaringstidsrum, sikkerhedskopiering, genetablering, exit/slettekrav, både af brugere og projekter.
Jeg ville benytte et magic-link system med salt+hashes af email adresser; ellers benyt Argon2 til kodeord.
1/?
@holsta mange af mine kunder er små fisk, som ikke har store smarte systemer.
Opbevaringskrav snakker vi om, når jeg onboarder (jeg opbevarer som default så længe de er kunder, sig til hvis I ikke vil have det).
Jeg kigger videre på magic link, tak.
Jeg kommer nok ikke til at lave SSO, hvis jeg får en kunde der er stor nok, kommer de til at punge ud. -
@infonauten Dejligt at du har et behov - det var bare ikke helt klart fra første post.
Min første tanke var at det bare ville give en forventning hos kunderne om at de altid senere kunne downloade igen og dermed give dig en for-evigt-opgave med at holde styr på det.
@svuorela jeg holder allerede som default styr på de endelige filer så længe folk er kunder (mest fordi det er praktisk i forhold til korrekturopgaver).
-
Og sig også gerne til mig hvis det er en dårlig ide! Jeg får INTET modspil fra min chef eller udviklingsafdelingen.
@infonauten Chefer og udviklere, mand.. De kan da heller ikke bruges til noget!
(jeg har i øvrigt intet bedre og mere relevant at byde ind med, end det du allerede har fået fra andre i tråden)
-
@infonauten Chefer og udviklere, mand.. De kan da heller ikke bruges til noget!
(jeg har i øvrigt intet bedre og mere relevant at byde ind med, end det du allerede har fået fra andre i tråden)
@nerdd hvad med din chef, Rasmus? Hvordan er det at være ansat?
-
@decibyte noteret
@infonauten @decibyte
Dine kunder kan have eller få krav om 2fa så undersøg dette allerede fra starten af. Dette kan blive at support område senere, når de skal have 2fa fjernet for at sætte det op igen. (Har ikke gemt de oprindelige emergency koder, har fået ny tlf eller lign.)
