Проблема проверки подлинности пользователя?

Question

[Ving]

Пусть есть некий сайт, который предоставляет сервис/услуги.


При регистрации пользователь вводит свой email, используя который он в дальнейшем может управлять своей учетной записью.


Предположим, что пользователь одновременно потерял доступ к своей учетной записи и регистрационному email (забыл пароли и/или их украли).


Вопрос: как в таком случае идентифицировать пользователя?


То есть, допустим, он обращается в тех. поддержку сайта, описывая ситуацию. Как тех. поддержке проверить, что он на самом деле тот, за кого себя выдаёт?

Answer 1

[VeMax]

Так же можно спросить кодовое слово (если используется). А если у клиента указан мобильный телефон, то выслать некий код на телефон.

Comments

[Ving]

К сожалению верификация по телефону пока недоступна.

Кодовое слово, контрольный вопрос — варианты, но к ним тоже злоумышленник может получить доступ.

[Riateche]

Верификацию по телефону в простом виде сделать легко: спрашиваете у всех пользователей номер телефона в личном кабинете, а при утрате доступа к аккаунту саппорт звонит на этот телефон, чтобы восстановить доступ.

[Dmitry Shvalyov]

А чем плоха ситуация, когда кодовое слово вводится _только_ при регистрации, и в дальнейшем в явном виде никак не отображается? А при смене каких то критичных данных (пароль, емайл) запрашивается это кодовое слово?
Да, понимаю, что пользователь может забыть кодовое слово, но в идеальном случае это единственная зацепка без которой не смогут увести учетную запись зная и пароль и емайл.

Answer 2

[Влад Животнев]

Платежная система, список услуг, последняя активность, микроплатеж, список IP адресов, с которых клиент заходил (или, как начальная проверка — список провайдеров) — NAT не избавляет клиента от внешнего IP адреса, а вероятность того, что поломал-ломает его сосед — минимальна.
Социальные профили с совпадающей информацией, альтернативная почта. Если это игра — то содержимое инвентаря, последние личные сообщения и прочее.

Comments

[Ocelot]

Можно сначала заморозить аккаунт, а потом спрашивать. Юзер постарается вспомнить, а злоумышленнику будет негде подсмотреть.

[Ogra]

Я бы поспорил, что вероятность поломки от соседа — минимальна. Очень просто в локалке/Wi-Fi просниффать трафик и выудить пароли и от сервиса и от e-mail

Answer 3

[Инсаф]

Возможно следует спросить про услуги, которые ему последнее время оказывались, или про личные данные, которые можете знать только вы и он.

Comments

[Ving]

Дополнительная проблема заключается в том, что если злоумышленник получил доступ к учетной записи в сервисе и к email, то он знает такие же сведения как и настоящий пользователь.

Вопрос как раз стоит в определение тех самых уникальных данных, известных только мне и пользователю.

[Ocelot]

Не все персональные данные могут стать известны злоумышленнику. Имеет смысл спрашивать: когда последний раз был на сайте, какие разделы смотрел и т.п. Хотя велик шанс, что пользователь и сам не помнит таких подробностей.

Answer 4

[Mikhail Osher]

Как вариант, проверка IP-адреса. +1 к комментарию выше.

Comments

[Ving]

Проверка IP хороша, когда он белый, а если пользователь за NAT?

[Mikhail Osher]

Поэтому я и написал «Как вариант». К тому же, на такого рода сайтах, я бы требовал вводить имя, фамилию. Естественно, как приватная информация, но при восстановлении учетной записи — можно и запросить.

Answer 5

[xaker1]

Если пользователь производил какую-либо оплату, можно связаться с ним по внутренней почте платежной системы.
А вообще, при регистрации спрашивать другие контакты, по которым можно связаться.

Comments

[Ving]

Опознание по платёжной системе достаточно надёжно, спасибо.
Но, к сожалению, не все пользователи являются платящими.
Видимо таки придется запрашивать другие контакты, хотя этого хотелось бы избежать.

Answer 6

[Ocelot]

Если к системе привязана платежная карта, можно сделать так, как поступает PayPal при проверке валидности карты: микросписание от 0,01$ до 0,99$, от пользователя требуется назвать точную сумму. Деньги потом, естественно, вернуть.

Comments

[Ving]

Хороший способ, спасибо. Но опять же остаются не платящие пользователи.

Answer 7

[Ura78]

Попробуйте воспользоваться сервисом KISSmetrics

Answer 8

[Rayko42]

брать номер телефона и авторизовать с помощью sms

Answer 9

[ArKaz]

Теперь появился сервис, который решает проблему верификации онлайн www.PublicVerification.com
Я имею скромное отношение к его созданию