База знаний Антона Сидорова

База знаний по аналитике, ИТ архитектуре, API. Документирование. Тесты инструментов.

Project maintained by daemon110282 Hosted on GitHub Pages — Theme by mattgraham

Авторизация в ЛК по ПИН

Авторизация в ЛК по ПИН

Зачем

Use Cases:

установить PIN
- пример реализации React
- Пользователь вводит PIN дважды
- Ограничьте длину PIN (4-8)
вход по PIN
- ограничьте число попыток ввода PIN
изменить\сбросить PIN
уведомления о входе на новом устройстве
(не)доверенные устройства

ИБ рекомендации TODO

Локальная валидация PIN в браузере

Допустимо:

Это не заменяет логин/пароль, а скорее упрощает доступ после первоначального входа.
Используется для “локальной быстрой авторизации” — как в мобильных приложениях: пользователь залогинился один раз, задал PIN, и в дальнейшем использует только его (в рамках того же устройства/браузера).
PIN используется для локального доступа (например, дешифровки токена)

Варианты решений:

PIN-код хранится в хешированном виде с солью
- соль: ид сессии + deviceid
или Web Crypto API для шифрования PIN (например, с ключом, основанным на устройстве)
- PIN зашифруем с помощью AES-GCM, используя ключ, связанный с устройством (или сессией)
- Храним:
  - зашифрованный PIN (ciphertext)
  - iv (вектор инициализации)
- Ключ храним в session-only памяти — он исчезает при перезапуске вкладки или браузера
- Расшифровка PIN происходит только при вводе.
или zero-knowledge security - шифрование токенов\данных, можно использовать короткие ПИНы (перебор усложнен из за PBKDF2)
- PIN-код не хранится
- Из PIN и соли генерируется ключ через хэш функцию Password-Based Key Derivation Function PBKDF2
- Ключ используется для AES-GCM шифрования данных (например, access token)
- Зашифрованные данные + соль + iv сохраняются в localStorage или IndexedDB (безопаснее от угроз XSS)
- При вводе PIN — дешифруем и восстанавливаем access\refresh token
- При совпадении — отправляется refresh token или сохранённый access token на сервер

Срок жизни ПИН:

критичен, потому что
- PIN — слабый фактор (обычно 4–6 цифр)
- PIN не защищён как пароли
- Долгая сессия + бесконечный PIN = уязвимость
ограничить таймаут для блокировки и входа по ПИН
не заставлять пользователя менять PIN сам по себе, если не было взлома или подозрительной активности.

Серверная валидация PIN

example LoginRadius API Use Case:
- Set PIN
  - During the registration, the application prompts your customer to set a PIN for the account
  - existing customers are prompted to set a PIN during the login
- Change PIN (old, new send)
- Forgot/reset pin by email/phone/username
- Reset PIN using security questions
пример

Системная валидация PIN WebAuthn

На уровне устройств по протоколу WebAuthn, FIDO2\CTAP2 (авторизация в системной форме)

Примеры

Т Банк анализ работы