Логин

"Все администраторы делятся на тех кто еще не делает Backup и на тех кто уже делает Backup" (Народная мудрость)

Логин вида admin@ИНН в общем неплох. Но расскажите:
1. Как организации корректно завести второй учет? (Актуально многим, особенно для торговли) Использовать не свой ИНН или ИНН с ошибкой?
2. Если конкурент узнает, что используется бухсофт-онлайн, то логин он уже знает почти точно. А учитывая, что для обмена нужно сообщать логин - абсолютно точно. Остается подобрать пароль. Пароль в общем сложен, но длина его небольшая. Понятно, что чем длиннее, тем сложнее вводить, но ... Сейчас более менее стойкие подобные пароли более 8-ми символов, лучше 12.
3. Почему не используется двойная авторизация для озабоченных безопасностью? (СМС или иные способы)
4. Раз облако сертифицировано, то почему бы не использовать возможность логина с помощью ЭЦП УЭК (и будет первый большой шаг к электронно-значимому документообороту)

Я думаю, что нужно дать возможность пользователям менять admin на что-то другое. В том числе в момент регистрации. При этом эта добавка может быть для всех пользователей. Пример: логин buh@ИНН_организации - административный логин, buh@ИНН_пользователя - логин конкретного человека, если нет ИНН, то использовать ИНН организации добавив две цифры по окончании по порядку 00, 01 ...
Тогда вторая база будет rab@ИНН ... а так как начало пользователь может задать сам ...

[А.Григоренко]

Логин можно вводить любой, не обязательно ИНН. Просто его нужно будет правильным внести в Личный кабинет.

[Андрей М.]

Так проще решаются вопросы с техподдержкой.

[lubezniy]

2. Полагаю, это мы в скором времени подправим.
3. Подумываем над этим. Но вообще двойная авторизация - это двойные проблемы, в т. ч. самому пользователю.
4. Сертификации облака недостаточно для обеспечения возможности авторизации с помощью ЭЦП. Полагаю, в конечном счёте дойдём и до этого, но предстоит ещё немало сделать, и не только нам. Главная проблема - почти нет плагинов к браузерам (исключая IE) и сертифицированных СКЗИ под разные платформы (в этой части проблем нет только у Windows). Платформозависимости ой как бы не хотелось.

3. Если сравнивать с банками, то у пароноидальных - это бесусловная опция. (На самом деле еще зависит от реализации, можно сделать хуже. И тоже ломается). У нормальных - управляемая опция, хочешь - включай.
4. Достаточно входить по сертификату. Это реализовано в ИЕ, Хроме и в FireFox (последний работает со своим хранилищем сертификатов, первые с системным). При этом закрытый ключ может храниться как на компьютере, так и на съемном носителе, токене и т.п. В windows работает без проблем, в других операционках в общем тоже нормально.

Никаких плагинов!!!! Боже упаси. И никакой Джавы!!!

Посмотрите на яркий пример реализации: http://www.startssl.com/ (Зарегистрироваться можно бесплатно, кстати и сертификат бесплатный получить, и вход на сайт строго по сертификату, без вариантов. Там же можно и флэшки заказать ... впрочем можно использовать и ЭЦП с гостовскими алгоритмами)

Я же написал, ИНН в логине - нормально и оригинально. Ничего страшного. В техподдержке будут видеть все логины с этим ИНН и уточнят, если их несколько. Нет никаких проблем.
Всего-то сменить admin на то, что выбрал пользователь.

Плюс решает проблему, если регистрируется пользователь с тем же ИНН (может сотрудник пробовал может еще что - вариантов куча, а то что первая часть выберется такой же - уже шанс невысок).