Quanto è sicura l'opzione "fidati di questo computer" per i siti web?

10

Molti siti hanno un'opzione "fidati di questo computer" che ti consente di aggirare alcune misure di sicurezza (es .: con l'autenticazione a due passaggi di Google abilitata, una non richiede di inserire il codice del telefono se il computer / browser è stato precedentemente contrassegnato come attendibile). Ho difficoltà a trovare ulteriori informazioni sull'argomento, in particolare su come implementarlo in modo sicuro, se possibile a tutti.

( Nota: Mi riferisco specificamente a siti di interesse generale, che non si basano su nulla di speciale oltre le capacità del browser. Ad esempio, il mio sito bancario utilizza il proprio modulo di sicurezza (utilizzando Java o ActiveX) , ma questo va oltre lo scopo di questa domanda).

Ipotesi:

  • Il computer da contrassegnare come attendibile viene infatti utilizzato solo da persone fidate e vengono adottate misure ragionevoli per mantenerlo privo di malware.
  • SSL viene utilizzato per comunicare al sito.

Domande:

  1. Da quello che potrei fare, un cookie viene utilizzato per memorizzare alcuni segreti condivisi arbitrari tra il browser e il sito. È tutto? O impiega un modo univoco (un non-forgeable) di identificare univocamente quel particolare computer o dispositivo?

    • Nel caso in cui sia veramente arbitrario, quali proprietà deve essere resistente alle collisioni e / o falsificazione? (lunghezza, casualità, ...)
  2. Lo stato di "fidato" dovrebbe scadere ad un certo punto? O è sufficiente offrire mezzi per revocarlo a richiesta, nel caso in cui l'utente creda che il computer / dispositivo sia stato compromesso?

  3. In realtà aggiunge una maggiore sicurezza? Usando di nuovo l'esempio di Google, ho notato che periodicamente mi richiede di autenticarmi di nuovo (usando però solo username / password). Qual è il ragionamento dietro questo?

    • Se presuppone che il computer sia ancora affidabile, non potrebbe semplicemente mantenermi autenticato per sempre?
    • Se OTOH presuppone che un utente malintenzionato possa usarlo, non dovrebbe invece richiedere un'autenticazione completa? (per cui si presuppone che sia sufficiente la password? considera il computer stesso come il secondo fattore?)

    Capisco che, in generale, quando la convenienza aumenta, la sicurezza diminuisce. Il mio dubbio è se questa opzione sconfigga o meno lo scopo dell'autenticazione a due fattori, o in realtà è un compromesso ragionevole.

posta mgibsonbr 09.01.2013 - 07:12
fonte

1 risposta

10

Sì, l'opzione "ricordami" / "fidati di questo computer" è sicura, a patto che tu abbia fiducia in tutti gli altri che potrebbero avere accesso al tuo computer e fintanto che viene implementata correttamente.

In genere viene implementato utilizzando un cookie persistente. Il cookie contiene un token casuale e non identificabile che ti identifica in modo sicuro. Se il sito web è implementato correttamente, viene inviato tramite SSL e il cookie è contrassegnato come sicuro. Tuttavia, molti siti Web omettono questo passaggio e lo inviano su connessioni non SSL (che sono insicure se si utilizza il computer su un mezzo di comunicazione non sicuro, ad esempio tramite un collegamento Wifi insicuro) o si dimentica di aggiungere il flag di sicurezza al cookie ( che non è sicuro contro un attacco man-in-the-middle attivo se stai usando un collegamento Wifi insicuro).

Questo cookie può opzionalmente avere una data di scadenza, o può essere scaduto lato server. Questo dipende dal server web. Probabilmente non è necessario espirarlo, ma potresti farlo scadere se ti fa sentire più a tuo agio.

Questa funzione aggiunge una grande quantità di praticità, poiché ti risparmia dal dover passare attraverso alcuni passaggi di autenticazione. I dettagli esatti del compromesso sicurezza / convenienza e dei vantaggi in termini di sicurezza dipenderanno esattamente da come un determinato sito web utilizza la funzione "ricordami" e non si può rispondere genericamente in modo astratto.

Ad esempio, molti siti Web potrebbero utilizzare la funzione "ricordami" in modo che tu possa accedere automaticamente ogni volta che visiti da questo stesso computer, senza dover digitare la tua password. È conveniente Significa anche che puoi ragionevolmente scegliere una password più lunga: dato che raramente devi inserire la password, puoi farlo per tutto il tempo che vuoi senza preoccuparti del fastidio di cercare di memorizzare o digitare la password. Quindi, in un certo senso, questo fornisce alcuni vantaggi per la sicurezza.

    
risposta data 09.01.2013 - 07:50
fonte

Leggi altre domande sui tag