Trusted device bij login-systemen

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

- Ariën  -
Beheerder

- Ariën -

12/06/2022 17:45:03
Quote Anchor link
Ik ben bezig met een 2FA-systeem voor bij het inloggen. En nu vroeg ik mij af of iemand een goede methode of package kent om een device als veilige device te herkennen.

Facebook gebruik dit ook als je met 2FA inlogt, en je dan kan aangeven dat 'dit een veilige device is' waarbij er dan geen 2FA wordt gevraagd.
Gewijzigd op 10/08/2022 23:51:42 door - Ariën -
 
PHP hulp

PHP hulp

19/08/2022 00:46:06
 
Ozzie PHP

Ozzie PHP

13/06/2022 10:17:33
Quote Anchor link
Een 2fa melding volgt meestal nadat een OS of IP-adres is gewijzigd of als er via een andere browser wordt ingelogd. Fingerprinting wordt tegenwoordig door veel browsers tegengegaan. Of er packages voor bestaan weet ik niet (zal vast wel), maar als je zelf iets wil maken zou je kunnen controleren op min of meer vaststaande gegevens zoals IP-adres, OS, browser en taal. Als een van deze parameters dan wijzigt, zou je het apparaat als een "onveilig" apparaat kunnen beschouwen wat eerst moet worden goedgekeurd door de gebruiker alvorens deze kan inloggen. Merk wel op dat dit lastig is bij dynamische IP-adressen. Op een mobiele telefoon zou controle op IP-adres niet werken.
 
Ward van der Put
Moderator

Ward van der Put

13/06/2022 12:07:07
Quote Anchor link
De software/virtual authenticator is gekoppeld aan het device, niet aan het IP-adres van het device. Ik hoef bijvoorbeeld niet opnieuw in te loggen als ik met telefoon of laptop op pad ben (en mijn IP-adres daardoor vaak verandert), maar wél nadat ik een update heb geïnstalleerd van besturingssysteem of browser.

Waarom zou je zelf iets verzinnen als browsers daarvoor een standaard ondersteunen? ;-)

https://developer.chrome.com/blog/webauthn/
 
- Ariën  -
Beheerder

- Ariën -

05/07/2022 17:12:17
Quote Anchor link
Ik zal daar eens naar kijken, hoewel het best complex in elkaar steekt. Maar heeft iemand eventueel ervaring met library's die dit kunnen?
Gewijzigd op 05/07/2022 17:13:12 door - Ariën -
 
Ward van der Put
Moderator

Ward van der Put

05/07/2022 17:32:20
Quote Anchor link
Ik zou eens naar OAuth 2.0 kijken:

https://oauth.net/2/

Daarvoor bestaan ook goede PHP libraries:

https://oauth.net/code/php/
 
- Ariën  -
Beheerder

- Ariën -

07/07/2022 10:28:36
Quote Anchor link
Ward van der Put op 05/07/2022 17:32:20:
Ik zou eens naar OAuth 2.0 kijken:

https://oauth.net/2/

Daarvoor bestaan ook goede PHP libraries:

https://oauth.net/code/php/

Oauth is toch een complete login-flow? Het gaat mij enkel om de herkenning van 'trusted devices'.
 
- Ariën  -
Beheerder

- Ariën -

10/08/2022 23:37:57
Quote Anchor link
Toch even een schopje. Kent iemand misschien goede PHP-library's om een device als vertrouwd te kunnen laten herkennen? Ik zie dit op steeds meer sites komen. Dus ik denk dat er wel een handige library bestaat. Ik heb geen zin in om het wiel opnieuw uit te vinden. :-P

Oh ja, ik heb 2FA werkend.
Voor de liefhebbers die ook aan de slag willen met twee-traps-verificatie (2FA) en Google Authenticator op de telefoon: Daarvoor gebruik ik deze class (tevens via composer binnen te hengelen): https://github.com/PHPGangsta/GoogleAuthenticator.
De secretkey vraagt de gebruiker bij 'registratie' eenmalig op, en die kan je ook via de QR-code die het script genereert in je telefoon hengelen. Die secret gebruik je steeds bij de controle.


Edit:
Voor het gemak pas ik de titel maar even aan, omdat dit de lading beter dekt.
Gewijzigd op 10/08/2022 23:55:42 door - Ariën -
 
- Ariën  -
Beheerder

- Ariën -

13/08/2022 12:11:17
Quote Anchor link
Schopje?
 
- Ariën  -
Beheerder

- Ariën -

17/08/2022 10:48:14
Quote Anchor link
Het enige wat ik kan vinden is iets voor Symphony, wat ik niet gebruik. Ik ga eens kijken of ik wat hiermee kan doen.
 



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.