如何在需要电子签名的网站上实施安全下载区域?

信息安全 验证 Web应用程序 协议
2021-09-11 12:44:48

出于质量管理的目的,我工作的公司想要一个系统,该系统要求客户通读免责声明,然后提供电子签名,确认所述免责声明,然后才能访问下载区域。签署免责声明后,我们还需要一个自动电子邮件形式的反馈系统,该电子邮件将被发送回指定地址。我在这个部门一无所知,所以我想知道实现这一点的最佳方法是什么 - 很可能最好留给专业人士,但这里的任何回应都会很棒!

我曾想象过这个过程如下:-

  1. 公司向客户发送一个特定下载区域唯一的密码和项目参考号(我们从事并打算提交给客户的每个项目理论上都有自己的下载区域)
  2. 客户访问我们网站上的一个页面,他们在其中输入我们提供给他们的参考号和密码,这会将他们带到他们的特定免责声明(每个项目的免责声明都不同)
  3. 客户阅读免责声明,通过提供姓名、职位和可能尚未确定的其他一些信息签署电子签名。
  4. 客户被授予访问特定于该项目的下载区域的权限,并且能够下载其中的文件。
  5. 签署电子签名后,将向指定地址发送一封自动电子邮件,以向我们提供客户访问的确认和证据。

一些进一步的说明: -

  • 基于网络的系统将是理想的,因此它可以集成到我们的网站中 - 我们在网页上设置项目,输入特定的免责声明详细信息并上传相关文件。
  • 如果客户希望再次访问文件区域,他们只需重新输入参考号和密码,然后绕过免责声明表格。但是,如果我们更新下载区域中的某些文件,我们必须选择强制客户端重新签名。
  • 为了避免由于人为错误或其他原因而导致重复 pin 的风险,提供随机生成 pin 的某种程度的自动化也会很棒。我们可以每次都使用随机数生成器,但如果简化流程会有所帮助。

我遇到了以下内容 - https://www.universign.eu/en/timestamp/ - 这似乎是我所追求的,但同样,网站的实施超出了我的范围。

2个回答

值得注意的是,在线存在许多执行此类操作的服务。Accellion、LiquidFiles、Dropbox、Box.com 和许多其他公司都可以为您提供这种功能。根据数量和复杂性,您甚至可以利用一些面向营销的在线服务,例如 salesforce.com 或 hubspot。

在尝试自己做的时候,你做错了无数的事情。您绝对应该考虑注册现有的在线服务或安装执行此操作的软件。

所以这里是我将在这里做的一个快速草图。

  1. 在注册时为每个用户分配一个 pin。确保它是秘密的。https://codereview.stackexchange.com/questions/61338/generate-random-numbers-without-repetitions应该给你一个很好的方法来做到这一点没有重复。一定要选择足够多的数字!
  2. 有一个带有参考号和引脚框的页面,以及一个图灵测试,例如验证码 [1],以防止暴力破解。
  3. 当用户想要下载文件时,提供一个包含所有法律术语的 ToS 框,然后有名称、职位等框。让他们勾选框。
  4. 作为下载例程的一部分,查找电子邮件并发送确认。
  5. 确保他们无法强制浏览到文件位置。进行检查以确保您每次都通过查找唯一令牌(在步骤 1 或 2 中给出)实际完成了该过程。不允许重用此值。

有关软件开发重大问题的更多信息,我建议阅读 OWASP Top 10:https ://www.owasp.org/index.php/Top_10_2013

[1]:请注意,CAPTCHA 不是 W3C 可访问的。更多阅读:http : //simplyaccessible.com/article/googles-no-captcha/,https ://www.w3.org/TR/turingtest/