Estoy teniendo un desacuerdo con alguien (un cliente) sobre el proceso de identificación / autenticación de usuario para un sistema. El meollo de esto es que quieren que cada usuario tenga una contraseña global única (es decir, no hay dos usuarios que puedan tener la misma contraseña). He explicado todos los argumentos obvios en contra de esto (es una vulnerabilidad de seguridad, confunde la identificación con la autenticación, no tiene sentido, etc.) pero insisten en que no hay nada de malo en este enfoque.
He realizado varias búsquedas en Google buscando opiniones autorizadas (o semi-autorizadas, o incluso independientes) sobre esto, pero no puedo encontrar ninguna (principalmente es un error falso tan obvio que no parece que valga la pena advertirlo, como por lo que puedo decir). ¿Alguien puede señalarme una opinión independiente, por favor?
[EDITAR]
Gracias por todas sus respuestas, pero ya entiendo los problemas con este enfoque / requisito propuesto, e incluso puedo explicárselos al cliente, pero el cliente no los aceptará, de ahí mi solicitud de fuentes independientes y / o autorizadas. .
También encontré el artículo del Daily WTF, pero sufre el problema que Jon Hopkins ha señalado: que este es un WTF tan evidente que no parece que valga la pena explicar por qué .
Y sí, las contraseñas serán saladas y picadas. En cuyo caso, la singularidad global podría ser difícil de garantizar, pero eso no resuelve mi problema, solo significa que tengo un requisito de que el cliente no ceda, eso no solo es desaconsejado, sino que también es difícil de resolver. implementar. Y si estuviera en condiciones de decir "No me estoy moviendo con sal y picadillo", estaría en condiciones de decir "No estoy implementando contraseñas únicas a nivel mundial".
Cualquier sugerencia a fuentes independientes y / o autorizadas de por qué esta es una mala idea todavía recibió con gratitud ...
[/ EDIT]
