Насколько безопасен способ входа на сайт по коду из email?

Question

[Александр Владимирович]

Приветствую!
Хочу максимально упростить вход пользователей на сайт и использовать следующий способ входа:
На странице входа пользователь вводит email, после чего получает на email одноразовый код (например 6 цифр), и вводит этот код на сайте. Всё, пользователь вошел на сайт. Даём, допустим 2 попытки ввести код на случай опечатки, или 1 минуту времени, после чего надо получить новый код. Запросить новый код можно раз в минуту.

Какова вероятность, допустим, взломщику угадать код с первого раза?
Подскажите, насколько безопасен такой подход? Какие недостатки?

Comments

[twobomb]

Вероятность угадать код с первого раза 0.13%, шестизначный код это факториал 6! = 720 возможных комбинаций

[Dmitry Roo]

Есть ещё более простой способ: скидывать на почту «волшебную ссылку», которая содержит в себе код для входа, который может быть uid-ом и подобрать который невозможно.
У scaleway так реализовано

[Rsa97]

twobomb, Шестизначный числовой код - это набор от 000000 до 999999, всего миллион вариантов. Соответственно, вероятность угадать с первой попытки - одна миллионная, с двух - чуть меньше двух миллионных.

[twobomb]

Rsa97, а ну да точно я посчитал количество вариаций с использованием уникальных чисел без повторений.

Answer 1

[Deita]

Почему бы и нет, только не долгоживущий и одноразового использования. Недостатков куча, от перехвата до банальных какихто вещей о которых обычные смертные не догадываются, которые могут подсказать специалисты в теге по информационной безопасности развёрнуто. Поэтому сейчас модные OpenID OAuth всякие...

Answer 2

[mayton2019]

Email коды не считаются безопасными в наше время. Факторы аутентификации должны быть разные. Желательно - разные физические устройства. Телефон. Планшент. RSA-token генератор.

Автор на самом деле задает хитрый и лукавый вопрос.

Хочу максимально упростить вход пользователей на сайт

и этот вопрос противоречит целям и задачам которые идут ниже.

Потенциальный злоумышленник скорее всего угадывать ничего не будет. Он обычно осведомлен
об особенностях безопасности и точно знает что делает. Угадайка здесь вобщем - то не интересная
темя для обсуждения.