django-qrauth — QR-коды для быстрого входа на сайт с мобильных устройств

Мне кажется или секурность ниже плинтуса?

С википедии:

Максимальное количество символов, которые помещаются в один QR-код:

цифры — 7089;

двоичный код — 2953 байт;

Что не так с секурностью?

Ну, чего уж там — использование такой авторизации действительно даёт возможность залогиниться не только самому пользователю, но и любому, кто получил доступ к его сессии (например, просто сел за компьютер, где он авторизован на сайте).

Но есть варианты защиты (с ними становится чуть менее удобно, но всё равно лучше, чем вводить всё с виртуальной клавиатуры). Я на эту тему и в скринкасте говорил, и в заметке на Хабре писал — посмотри, если интересно.

Картинка валяется везде. Гугл вдруг взял её и проиндексировал, в кэше браузера отложилось, да мало ли ещё мест, куда она попадёт... Любой может считать её и залогиниться. Нэ?

Нет. Каждая картинка работает один и только один раз. И даже если её не использовали, то она всё равно перестанет работать через 5 минут (или через другое время, заданное в настройках).

И Гугл такие картинки не индексирует — потому что на неё нигде нет ссылок. А угадать хэш из 40 шестнадцатеричных цифр у Гугла вряд ли получится. :)

Кстати, вот обсуждение на Hacker News:

https://news.ycombinator.com/item?id=5803658

Приложение django-qrauth

позволяет добавить на Django-сайт

как все сложно :(

Тонко автор пиарит свой сайт в видео. Браво.

зачем это здесь?

Ну, а в принципе — почему бы и нет, если приложение было первоначально именно для него написано, и затем выложено в open source?

Я что-то не совсем понимаю. А зачем это нужно? Ладно перейти по QR-коду на сайт - ок. Но авторизация то?! Любой сфоткает твой QR и аккаунт под угрозой!

В чем новость? Давайте тогда постить обновления ROR гемов

Так оно за тем и придумано, не? Новые просторы социальной инженерии же.

зачем этот дешевый пиар? здесь ваш сабж не в тему и по факту ни о чем.

Согласен это уже полный маразм. Читал еще на хабре

Скажите пожалуйста а идентификатор пользователя у вас система откуда берет? Пользователю свой id все равно вводить нужно или нет?

Для инвайтов пойдет, для авторизации вряд ли.

Идентификатор пользователя сохраняется в Redis, для каждого хэша (каждый QR-код содержит хэш).

То есть пользователю, сканирующему QR-код, вообще ничего вводить не нужно.