I "certificati" di accesso sono più sicuri del nome utente standard + dell'autenticazione della password?

Il certificato protegge gli utenti dalla più comune minaccia per la sicurezza dell'autenticazione: riutilizzo della password. La maggior parte degli utenti di Internet ha la tendenza a utilizzare password identiche o simili su siti diversi, compresi siti bancari. Quando ciò si verifica, significa che il compromesso di un database delle password da un altro sito ora consente l'accesso al sito bancario.

I certificati proteggono anche dalla seconda più comune minaccia: il phishing. L'utilizzo dell'autenticazione reciproca in TLS per la verifica del client rende il phishing quasi impossibile. (L'attaccante avrebbe bisogno di piantare un CA falso su entrambi i lati della connessione, e se sono in grado di farlo, possono fare molte cose peggiori.)

Hai ragione nel ritenere che un certificato non sia molto più difficile da sottrarre a un utente malintenzionato rispetto alle credenziali, quindi offre poca sicurezza a un utente con un endpoint compromesso. Il certificato protegge da due problemi molto reali, tuttavia, ed è quindi un'opzione più sicura di un semplice nome utente / password. Come hai sottolineato, questa sicurezza ha un costo di usabilità, che è sfortunato.

La parte importante del certificato non è in realtà il certificato stesso, ma l'oggetto che lo accompagna chiama la chiave privata . Il file "p12" contiene entrambi. Durante la connessione, il certificato (la parte pubblica) viene mostrato al server e la chiave privata viene utilizzata per convincere il server che la chiave privata è effettivamente lì (quindi, presumibilmente, il proprietario della chiave, cioè tu). Tecnicamente, una firma digitale è coinvolta; questo è gestito all'interno dei meccanismi del protocollo SST / TLS (utilizzato per ogni URL "https: //") .

L'interesse principale, per una banca, nell'utilizzare l'autenticazione client basata su certificati è che la tua chiave privata non può essere rubata con il phishing. Se le persone malvagie impostano un sito Web fasullo che sembra davvero un vero e proprio sito bancario, potrebbero indurti a inserire la tua password e poi a imparare la tua password; ma non possono rubare la tua chiave privata. Questa è la magia delle firme crittografiche: il potere di verificare non implica il potere di generare. Anche se ti connetti follemente a un server falso, e quel server richiede una prova di possesso della tua chiave privata (come per SSL), questo non permetterà al falso server di imparare la tua chiave privata e impersonarti.

Questo è il tuo vantaggio: la protezione dal phishing. I siti Web fasulli sembrano essere la minaccia di sicurezza più correlata a Internet per le banche, quindi è logico che provino a fare qualcosa contro di esso.

Potremmo anche obiettare che la tua chiave privata non verrà afferrata da un keylogger, contrariamente alla tua password, ma non è un argomento molto valido, perché i keylogger software possono registrare le chiavi solo perché hanno un accesso privilegiato al tuo macchina, a quel punto possono anche prendere o almeno usare la chiave privata. (L'argomento funziona ancora nel caso di keylogger "hardware", come una telecamera nascosta vicino al soffitto con una buona visuale sulla tastiera.)

C'è un altro potenziale vantaggio, ma non è per te; è piuttosto per la banca. La distribuzione dei certificati ai clienti, all'interno di una specifica procedura, può essere il primo passo per le firme sulle transazioni con non-ripudio . Questo non è qualcosa che si ottiene con SSL (dove la firma è sulla sessione , non sui dati trasmessi); richiede un codice speciale sul lato client. Le firme con non rifiuto sono un'arma legale contro tu , nel caso in cui tu usi il sito Web per inviare un ordine di transazione finanziaria e poi provi a rinegoziarlo. La firma può quindi essere utilizzata come prova, in tribunale, che tu l'abbia fatto davvero.

È improbabile che la tua banca utilizzi un tale sistema di firma in questo momento; ma la distribuzione dei certificati lato client è come inizia.

Ti mancano diverse cose:

• Il tuo account è ora protetto da due fattori: la chiave privata (che è memorizzata sul tuo computer) e la passphrase (che tu sai). Un utente malintenzionato ha bisogno di entrambi.
• Nessun dato sensibile deve essere memorizzato o inviato al server. La chiave privata non lascia mai il tuo PC. Quindi un utente malintenzionato non può semplicemente prelevare alcuni hash delle password dal server e avviare un attacco a forza bruta. Devono attaccarti in modo specifico.
• Ammettiamolo: la maggior parte delle password è terribile. Questo può essere accettabile fino a quando "solo" il nostro account Facebook è in gioco, ma una banca ha bisogno di un po 'più di sicurezza.

Fai sorgere dubbi validi:

• Se sul computer è presente malware, la password memorizzabile dall'utente che protegge il file p12 può essere forzata bruta offline, esponendo le credenziali e la password
• L'utilizzo di un certificato su più dispositivi è problematico

Il vantaggio principale che vedo è che i certificati client consentono l'autenticazione reciproca TLS, il che significa che ciascuna parte può essere certa che non vi sia alcun proxy HTTPS (spyware aziendale o hacker WiFi) che ispeziona il traffico tra te e la banca.

Spero che la tua banca ti permetta di avere un numero di certificati su molti dispositivi, ognuno dei quali può essere annullato / revocato indipendentemente se il tuo dispositivo viene perso, rubato o compromesso.

I certificati aggiungono un secondo fattore di autenticazione che rende il tuo account molto più sicuro.

Innanzitutto, i tre fattori sono:

• Cosa sai (ad esempio password)
• Cosa hai (telefono, certificato, ecc.)
• Cosa sei (cioè impronte digitali, retina, ecc.)

La tua banca ha assicurato che chiunque abbia intenzione di accedere all'account deve conoscere la password e avere il certificato.

Quindi diciamo che un utente malintenzionato scopre la tua password, sia per ingegneria sociale, o compromettendo il database delle password della banca, o sniffando il traffico dal tuo router di casa, o tramite phishing, ecc., non possono ancora accedere al tuo account perché non ho ancora il certificato.

Ora diciamo che un utente malintenzionato ti sta prendendo di mira e ruba il laptop o il computer da casa, ecc., ma non possono ancora accedere al conto bancario perché non hanno la password.

Quindi l'attaccante deve in qualche modo rubare entrambi, che è ovviamente più difficile e quindi aggiunge sicurezza.

Dal punto di vista dell'usabilità, chiedi alla tua banca se è possibile inviare un SMS al tuo numero di telefono come secondo fattore di autenticazione. Ciò richiede che l'utente malintenzionato conosca la tua password e abbia il numero del tuo telefono