服务/平台如何唯一标识用户?



如果你从一个新设备登录到一个平台(Twitch, Blizzard, Steam,大多数加密交易所,大多数银行),你通常会收到一封电子邮件。

就我所知,你能得到的关于请求的唯一信息是

<<ol>
  • IP地址/gh>
  • 设备操作系统&版本
  • 浏览器类型&版本
  • 这些平台是基于他们的"独特"吗?用户仅凭这些信息和/或am是否有更多的信息可以收集?

    从安全性的角度来看,最大的问题是您的身份或您的身份验证方式。这是王。邮件中说"嘿,这是一个新设备";我见过不同地点的处理方式不同。最常见的是浏览器缓存,我看到银行专门使用浏览器缓存来存储这类令牌。否则每次你的手机连接到一个新的信号塔时,你可能会被标记为不同的。它们不一定与身份验证令牌相同,它只是说,我以前以这个用户身份验证过这个站点。由于它是由服务提供者生成的,服务提供者知道要信任它,并且几乎不可能被破解(假设它被正确实现)。

    从我自己的操作系统和浏览器类型的经验来看,这更多的是记录而不是可操作的见解,但是你可以建立一个考虑到来自不同地理位置的IP地址的安全系统。也就是说,为什么这个美国人要从中国登陆。他们3小时前刚从加州登陆,这是不可能的。不过,我不认为大多数网站真的做到了这一点。我确实看到MFA提供商说:"嘿,有一个来自中国的登录,你想批准吗?"这个工作流程更有意义。

    你问题的最后一部分很棘手,关于"唯一用户"。大多数人是基于打开的会话数(标签),或者在Twitch的情况下(因为你特别提到了它们),基于流媒体视频的标签数来计算的。在这些开放平台上,任何没有账户的人都可以流式传输内容,显然这与Netflix不同,Netflix让你进行身份验证,每个账户都有有限的会话可以开放。

    我承认,大多数这样的系统在你登录时都会在浏览器中存储一个cookie(不是会话cookie,只是一个随机ID)这个cookie也会在提供商数据库中与你的帐户相关联,所以当你回来时,你登录,他们会检查你是否设置了那个cookie以及ID是否匹配

    你可以用这个ID做更多高级的东西,比如浏览器的值,操作系统的值,过期日期等等

    最新更新