Facebookのセッションハイジャックの防止

Question

私は金融サービスWebアプリケーションを構築しており、私の会社はfacebook認証を組み込みたいと考えています。私たちは金融界にいるので、セキュリティが最も重要です。私は統合のためにfacebook PHP SDKを使用していますが、私は本当にセッションハイジャックを心配しています。私の大学時代、私はセッションを私の周りのみんなからハイジャックしました（これは楽しいことでした）が、私のアプリケーションでこれを防ぐ方法を見つけようとしています。

私の会社では、できるだけ合理化された認証プロセスが必要なので、2要素認証のようなものは望ましくありません。しかし、Facebookのログイン後に別の情報を求めてユーザーに促すことは、これを行う最も安全な方法のようです。あなたの巧妙な人々の誰かが、プロセス全体をシンプルかつ迅速に保ちながらこれを確保するための他の方法を考え出すことができるのだろうかと思いますか？

Answer 1

P（攻撃者に余分な情報|攻撃者ハイジャックセッション）が低い場合にのみ、別の情報が役立ちます。

複雑な2番目の要素を初めて使用する場合（またはセキュリティ上の注意を払って対話する）、次に接続するマシンを覚えておいて次の訪問時に2番目の要素をスキップすると、合理化された相互作用。

デバイスを初めて認証する最後のステートメントの残高などを尋ねると、アカウントに関連していると思われるものを既に知っていることがわかります。

また、アカウントに関連付けられたモバイルデバイスに乱数を含むテキストを送信することは、そのデバイスから接続していないことを前提とする第2の要因として機能します。