用户使用PIN登录的系统会以什么方式被破坏？
用户使用PIN登录的系统会以什么方式被破坏？
提问于 2017-05-30 00:19:54
我的任务是实施一个基于网络的赌博系统，在网站上运行。公司联合创始人和设计人员对用户登录的要求在安全性方面发出了危险信号，这让我感到惊讶，因为所有其他角色都必须是安全的(出纳员、站点所有者、管理员等等)。
下面是用户应该如何登录这个系统：
- 用户到出纳员那里注册，并支付信贷费用。
- 出纳员创建用户，给他们的帐户信用，并给他们的用户ID. 。
- 用户ID仅为七个字符。
- 用户ID仅为数字。
- 用户ID在屏幕上以纯文本形式显示给出纳员。
- 用户ID打印在给用户的收据上。
- 没有密码。仅使用用户ID即可登录。
- 用户到站点的终端，登录用户ID，并玩游戏。
用户ID以密码的形式出现，因为当播放机进入终端登录时，屏幕上会显示一个数字垫，并且他们输入的数字被蒙住。
这个系统能被破坏的所有方法是什么？我向他建议，7位数字是不安全的，这是可以猜测的，但他说，用户不想输入长号码才能登录，而且每个站点最多可以有2000名用户。
回答 2
Software Engineering用户
发布于 2017-05-30 01:21:04
这是典型的自动洗车成功使用的安全模型。
只要所担保的东西价值低，并且在有限的时间内有效，它就能起作用。如果这是真的你会没事的。当玩家试图赎回他们赢来的钱时，额外的安全很可能是有效的。如果这不是真的你应该重新考虑。
如果供应商看到代码是你真正关心的事情，正如我所理解的那样，员工是不允许赌博的。因此，试图利用看到代码的员工需要一个骗局来转售它，还有一些骗局来说服客户不要抱怨它。我可以看到所有的事情发生，除了我简直不敢相信你不检查身份证时，人们赎回他们的奖金。
Software Engineering用户
发布于 2017-05-30 09:21:22
当我们讨论将这个系统部署到一个物理位置，玩家可以登录到的专用终端，安全风险不是很高，可以很容易地管理。
知道玩家可以登录的物理位置(S)意味着，如果系统在一个终端检测到可疑行为，那么就很容易派遣一名保安人员，否则恶意意图的人可能会造成太大的伤害。
可能的风险及其缓解措施是：
- 有人不小心在别人身上输入了罚单号码。这可以通过创建随机的用户ID来缓解，因此意外输入错误的可能性很小，但是有效的ID很低。
- 人们试图猜测有效的用户ID。这可以通过限制在向安全团队发出信号之前输入用户ID的尝试次数来缓解。
- 人们分享他们的身份证(不是有意的，也不是偶然的，因为有人从地板/垃圾箱里捡到了收据)。这可以通过限制ID有效的时间和限制它可以同时使用的机器的数量来缓解。
- 有人在互联网上试图访问终端。通过确保您需要对终端的物理访问来操作它，这可以最小化。
页面原文内容由Software Engineering提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://softwareengineering.stackexchange.com/questions/349809
复制相关文章
相似问题
腾讯云开发者
