Регистрация и авторизация на php с привязкой к устройству?

Question

[Дмитрий]

Такая задача- написать авторизацию и регистрацию на сайте. Всё просто, только надо что бы пользователь мог войти с одного устройства.
Система такая- админ через админку создаёт юзера (логин, пароль). Передаёт эти данные юзеру, он под ними входит и попадает на страницу где ему нужно заполнить такие данные- ФИО, почта, ИНН, номер, логотип компании и т.д.. После он попадает на страницу N. Всё это делается под одно предприятие. И так как мы не доверяем своим юзерам и не хотим что бы они смогли передать пароль третьему лицу, нам нужна своя система безопасности. Единственным решением вижу- это привязка к устройству. Как реализовать?

MAC не подходит, это только для локальных сетей

Comments

[FanatPHP]

КАКИМ МЕСТОМ здесь mysql?

[Дмитрий]

FanatPHP, а что не так?

[FanatPHP]

а а самостоятельно сообразить не получается? Давай я помогу. Задам наводящий вопрос. Каким местом тег mysql относится к вопросу идентификации пользователей?

[FanatPHP]

Ну и сам вопрос, конечно - это верх интеллекта.
Один и тот же пользователь, который сначала соединился с работы, а потом решил воспользоваться сервисом с домашнего компа - каким образом система должна понять, что это не злостный хулиган нарушитель?

[Дмитрий]

FanatPHP, он сможет подключится только через одно устройство

[FanatPHP]

Дмитрий Кузьмищев, ну то есть по-твоему к БД подключается некий "он", а не твоя программа на похапе?
Ты вот это сейчас серьёзно?

[Денис Юрьев]

Копайте в сторону ЭЦП.

Хотя и тут пользователь может свой ключ третьему лицу, но это уже жесткая тупость самого пользователя будет.

[FanatPHP]

Ну в общем понятно.
Я посмотрел твои вопросы и понял что зря на тебя накинулся.

В целом проблема идентификации пользователя в вебе нерешаема.
Никакой "привязки к устройству", к счастью, в принципе не существует.

Поэтому максимум, что можно сделать - это записывать текущий идентификатор сессии в БД, и периодически обновлять в время, когда сессия активна.
Если одновременно активны две сессии -значит пользователь нарушил соглашение. Но это не точно.

[Дмитрий]

FanatPHP, Хорошо. Мне в чате подкинули идею- Реализовать на токенах. При новой авторизации перезаписывать токен. Юзер который на другом компе, имеет старый токен. И его разлогинивает.Все намного проще)
Вариант?)

[FanatPHP]

ну или так, если просто портить жизнь юзерам, а не поймать нарушителя.
хотя это всё конечно тоже не панацея

[Дмитрий]

Mellorn, просто заказчику надо что бы юзер не мог передать доступы третьим лицам. Что можешь посоветовать?)

Answer 1

[Дмитрий Кузнецов]

1. Аутентификация по СМС (Не плохой вариант)
2. Аутентификация по двухфакторки (Хороший, безопасный вариант).
3. Аутентификация по данным браузера (данные самого браузера). На подобие как у Steam и т.п.. Если устройство новое, то что-то сделать надо. (Так себе вариант)
4. Аутентификация по IP адресу (Не плохой, но что если пользователь зайдёт под проксёй?)
5. МБ кто-то ещё что-то придумает

Comments

[Дмитрий]

И так как мы не доверяем своим юзерам и не хотим что бы они смогли передать пароль третьему лицу

Вот в чём проблема))

[FanatPHP]

Проблема в том, что в такой маниловской формулировке проблема решается хардверными ключами доступа.
Но тут мы сразу услышим песню про то, что на самом деле это не такие уж и важные данные, чтобы на реальную защиту тратиться.

И в итоге бодрые искатели волшебных решений ограничатся куками.

Answer 2

[Олег Фролов]

Думаю, нужно копать в сторону fingerprint
https://github.com/fingerprintjs/fingerprintjs