페이스 북 세션 하이재킹 방지

Question

저는 금융 서비스 웹 애플리케이션을 구축 중이며 회사는 페이스 북 인증을 통합하려고합니다. 우리가 금융계에 있기 때문에 보안이 가장 중요합니다. 통합을 위해 페이스 북 PHP SDK를 사용하고 있지만 세션 하이재킹에 대해 정말로 우려하고 있습니다. 내 대학 시절에 나는 내 주위의 모든 사람들에게 세션을 가로 챌 것이 었습니다. (큰 재미였습니다.)하지만 제 응용 프로그램으로이를 막을 수있는 방법을 찾고 있습니다.

우리 회사는 가능한 한 효율적으로 인증 프로세스를 원하기 때문에 2 단계 인증과 같은 것이 바람직하지 않습니다. 페이스 북 로그인 후 다른 정보를 요구하는 사용자에게 가장 안전한 방법 인 것 같습니다. 영리한 사람들이 전체 과정을 간단하고 빠르게 유지하면서 이것을 확보하는 다른 방법을 생각해 낼 수 있는지 궁금합니다.

Answer 1

또 다른 정보는 P (공격자가 가지고있는 추가 정보 | 공격자가 해킹 된 세션)가 낮은 경우에만 유용합니다.

복잡한 두 번째 요소를 처음으로 사용할 때 (또는 보안에 민감한 방식으로 상호 작용하는) 두 번째 요소를 사용하고 이후에 방문 할 때 두 번째 요소를 건너 뛰려면 연결하는 시스템을 기억하면 얻을 수 있습니다 간소화 된 상호 작용

기기를 처음 인증하는 마지막 문장에서 균형점과 같은 것을 물어 보는 것이 좋은 두 번째 요소 일 수 있습니다. 계정에 관련된 권한을 이미 알고 있다는 것을 증명할 수 있습니다.

또는 계정과 연결된 모바일 장치에 임의의 숫자로 텍스트를 보내면 해당 장치에서 연결하지 않는다고 가정 할 때 두 번째 요소가 될 수 있습니다.