控制何时可以访问您的数字服务

chandonara

在 ElevenPaths 工作期间，  我们内部经历了许多事件，但其中最令人兴奋和期待的事件之一是 Latch 的诞生。 这是我们自己的一项技术，由我们自己的团队发明、申请专利和开发……并最终向全世界展示。我们为所做的工作感到自豪，我们需要讲述它。 我们终于可以这样做了。 这就是 Latch。

我们认为用户不会每天 24 小时使用他们的数字服务（网上银行、电子邮件、社交网络……）。那么， 为什么你会允许攻击者随时尝试访问它们呢？  Latch 是一种技术，它让用户可 特殊数据库 以完全控制自己的在线身份，并为服务提供商提供更好的安全性。




Latch，
密码是最古老的身份验证系统，也是我们每天都要面对的安全问题。第二身份验证因素、生物识别、密码管理器…… 我们还没有找到 让用户不再依赖简单密码、重复使用密码或将密码写在纸上的终极解决方案。Latch 也不是这样的解决方案。即使是使用良好密码习惯的高级用户也有可能面临密码被盗的风险。专注于 窃取凭证的恶意软件自古以来就非常“常见”。 但如果第三方数据库被黑客入侵并暴露，即使是最谨慎的用户也可能会被攻击者窃取密码。Latch 也不是这个问题的解决方案。
Latch 不会取代密码，而是对密码进行补充，使任何身份验证系统更加强大。Latch的方法与众不同。避免身份验证凭据落入坏人之手非常困难。但是， 用户可以控制自己的数字服务，并减少其受到攻击的时间。在不使用时 “关闭”对电子邮件、信用卡、在线交易的访问。 即使知道密码，也可以阻止它们。Latch 为用户提供了决定何时可以使用其帐户或某些服务的可能性。提供商和攻击者当然都无法决定。

即使攻击者窃取了用户的密码、信用卡或任何其他需要身份验证的服务，Latch 也能控制您的服务， 使攻击者无法在规定的时间间隔之外使用该服务中的被盗数据。 换句话说，（只需按下按钮）就可以使任何服务的身份验证凭据仅在用户需要在系统上输入它们的那一刻有效。

Latch 的计划
虽然我们谈到了密码，但 Latch 实际上是一种保护服务提供商定义的与最终用户交互的流程的服务。这些流程的背景和用途 与 Latch 提供的保护层无关。
这种保护结构的主要思想是 限制攻击者利用任何这些过程的暴露窗口。用户将决定是否打开或关闭其服务帐户，甚至详细说明可以从这些服务中采取的操作。 这使得及时减少攻击的可能性成为可能，将外部控制与每个操作相关联。服务提供商请求 Latch 以获取特定操作在定义时间内的用户定义状态。

Latch 的一般工作方案
在此图中，尝试从服务提供商执行操作的客户端获得 该操作是否被允许或拒绝的确认。
操作状态的配置是通过替代渠道进行的 （被认为比常规设备更“安全”），因此任何试图访问被用户阻止的操作的行为都可能被识别为异常。这种异常可能意味着试图访问被阻止操作的用户并不是他所声称的那个人， 并且可能存在欺诈企图。它在实践中是如何运作的

用户只需要一部智能手机即可“激活”或“停用”与 Latch 配对的服务。为此，用户需要：
创建 Latch 用户帐户。 此帐户将由用户用来配置操作状态（设置为开启或关闭其服务帐户）。
将常用帐户与用户想要控制的服务提供商（例如电子邮件帐户或博客）配对。 此步骤允许 Latch 与服务提供商同步，并根据尝试使用的操作提供适当的响应（由用户定义）。 当然，服务提供商必须与 Latch 兼容。 这允许用户决定是否使用 Latch。Latch 是提供的，但不是强加的。