Validación Avanzada de Usuarios

"solusoft" wrote in message
news:

Hola, tengo una aplicación ASP.NET con una validación WebForms, en la que
accedo a una tabla T_USUARIOS y si el valor TextboxUsuario y
TextBoxContraseña es valido, me creo un Ticket de Autenticación (una

cookie)

que determinará que el usuario está validado.

Al parecer, el cliente de la aplicación ha comentado que quiere evitar que
los usuarios vayan pasando sus contraseñas a toda la peña, y han pensado

que

de alguna forma se identifique el puesto desde que está conectado y así

poder

controlar que sólo se conecte el usuario desde ese equipo.

Se puede hacer algo parecido o de qué forma ? Se puede hacer sin tener que
modificar la base de datos ? qué habría que hacer ? la verdad que estoy
confuso.

Si los puestos tienen direcciones IP fijas, una solución sería que
mirases la dirección desde la que se ha establecido la conexión y solo
permitas a cada usuario la suya. Pero eso requiere que modifiques la base de
datos para guardar qué dirección le corresponde a cada usuario.

Otra solución, si la aplicación es para una intranet, sería utilizar la
autenticación integrada de Windows, con lo que la aplicación web tomaría el
usuario que haya hecho login en Windows. Y si quieren limitar los puestos de
trabajo a los que puede entrar el usuario, pueden establecerlo desde el
controlador de dominio.

Pero si es una aplicación para Internet, no hay ninguna solución fácil,
porque las direcciones son variables y no hay posibilidad de usar
autenticación integrada. En este caso, el remedio para que un usuario no
pueda pasarle sus credenciales a otro es usar autenticación "de dos
factores" (típicamente: factor 1 = "algo que sabes" (la password) y factor 2
= "algo que tienes" (una llave)). Como el "algo que tienes" no se lo puedes
pasar a otro usuario porque te quedas sin ello, se resuelve el problema de
que dos usuarios entren con un solo login. Hay varios fabricantes de
soluciones de este tipo, por ejemplo, RSA fabrica unos "tokens" que
poporcionan una clave numérica distinta cada cierto número de segundos, y la
tienes que teclear, y el servidor la comprueba. Pero es costoso porque hay
que adquirir los "tokens" en cuestión, además del software para el servidor.