в чем недостаток биометрических способов идентификации
их можно снять с трупа
их можно использовать без согласия владельца как на живом так и мертвом
их можно украсть
и, как выяснилось, их тоже можно подделать :-)
кроме того, что, как выясняется, они не гарантируют уникальность
правда если использовать биометрику в комплексе - становится лучше - но и сложнее
достоинства очевидны - в частности привязка к владельцу !?!
недостатки паролей (просто паролей)
если короткий - легко взломать подбором
если большой - тяжело запоминать
при малом сроке смены пароля - его можно вскрыть просто стоя за спиной (время от времени)
ну и одна из главных проблем
keylogger - сканирование клавиатуры. Особенно это касается незнакомых ПК в кафе у друзей (врагов) и т.д.
ну и конечно запись пароля на листках или пароль типа имени или даты рождения
Достоинства
невидим и не очевиден
конечно, если использовать утюг на живот, то можно взломать
но одновременно - без согласия пользователя получить его нельзя, в том числе и с трупа
если пароль достаточно сложный (длинный) и не очевидный по фиг взломаешь за разумное время
не существует в природе (физически) по сути нельзя украсть, как можно "украсть" биометрику и смарткарты
решение
пароль (кстати как и имя пользователя) должен быть не константой, заданной одноразово а некоей функцией игенерится по обстоятельствам, аналогично кстати открытым ключам. Более того, сервер может вообще не знать пароля или его хеша, а вычисялет его по запросу при аутентификации пользователя, зная его функцию генерации.
например
каждый новый день пароль другой - например менятеся последняя цифра
каждый новый логин пароль меняется в первой цифре (по порядку)
при входе снаружи ЛАН пароль один при входе изнутри другой.
возможность блокировки экаунта после ввода специально измененного пароля
например у вас пароль 123456 (ЛАН) при входе в сеть снаружи ЛАН он модифицируется на 12345678 (т.е. в зависимости от того откуда вы логинетесь вы вводите РАЗНЫЙ пароль). НАпример вы под принуждением вводите пароль и набираете 1234567Ф - сервер оценивает это как автоматическую блокировку или disable экаунта.
При повторном использовании входа с наружи ЛАН вы набираете уже не 12345678, использовавшийся до этого, а 1234567890.
Это простой пример. Сама функция генерации может быть достаточно проста и задана даже не в математических терминах а в логических.
Например пароль, зависящий от даты и времени его ввода,пароль как функция от дат рождения родственников (разных в разное время), пароль зависящий от используемой службы (почта или доступ к файловому серверу) и т.д.
Суть - пользователь входит в сеть (домен) и говорит я такой-то использую пароль такой-то. Сервер проверяет что такой-то должен из ЭТОГО места и в ЭТО время (вычислив функцию и сразу ее хеш) использовать ТАКОЙ пароль. ЕСли да - впускает если нет то нет. Повторный вход с того же места спустя 5 минут уже может требовать ввод ДРУГОГО пароля. Что исключает подсматривание и сканирование клавиатуры.
Сам генератор может быть уникален для каждого пользователя. Подразумеваетя, что пользователь МОЖЕТ достаточно просто генерить эту же функцию в голове. Подразумеваетя, что в простых случаях это просто некие ИЗВЕСТНЫЕ последовательности, неочевидные и ЛИЧНЫЕ.
Еще плюс - пользователь помнит не ПАРОЛЬ а "функцию" и генерит пароль в зависимости от ситуации.
Придется ломать Голову. или опять же утюг. Но тут в принципе без вариантов.
LI 3.9.25