Quindi ho abilitato l'autenticazione a 2 fattori su Gmail, il che significa che se accedo a una nuova macchina, invia un token al mio telefono.
Ora, se accedo a Gmail dal mio telefono, sembra che manchi solo un fattore; il mio telefono.
Quale sarebbe il modo più sicuro per accedere a Gmail dal mio telefono?
Penso che una password specifica per l'app sia la strada da percorrere, poiché se il telefono viene rubato, posso revocare la password e l'autore dell'attacco ha solo il token.
Hai raggiunto un punto dolente; l'utilizzo di dispositivi intelligenti come le credenziali di tipo qualcosa-tu-hai ha alcuni svantaggi.
Come sottolineato, il dispositivo intelligente spesso svolge un ruolo attivo nel processo di autenticazione oltre ad essere la credenziale del secondo fattore. Questo non è tanto un problema come potrebbe sembrare. Lo scopo di utilizzare il tuo dispositivo intelligente come qualcosa-tu-hai è che l'aggressore debba entrambi rubare il dispositivo e simultaneamente avere accesso alla tua password per poter accedere al tuo account. Questo è ancora vero, anche quando il dispositivo sta eseguendo entrambe le parti dell'autenticazione, ma hai ragione a metterlo in discussione, in particolare se memorizzi la password sul dispositivo. In questo caso l'autenticazione a doppio fattore diventa un fattore singolo: il dispositivo.
L'altro motivo per cui i dispositivi intelligenti fanno cattive credenziali è che hanno uno stack software e tipicamente eseguono applicazioni di terze parti. In altre parole, hanno malware. Un dispositivo intelligente infetto da malware equivale a un dispositivo furto rubato in termini di utilizzo come credenziale.
Il malware può istigare il login, attendere e catturare gli SMS / le notifiche in arrivo e leggere il codice del secondo fattore per completare il login. Nei casi più estremi, ciò avverrà all'insaputa dell'utente.
Quindi, in breve, non preoccuparti troppo: il fatto che tu sia a conoscenza di questo problema è grandioso, assicurati solo che il telefono non memorizzi la password o fornisca l'accesso automatico - il blocco dell'app non è sufficiente, come l'attaccante può comunque leggere direttamente la password memorizzata dall'hdd del telefono.
E quando è richiesta una vera sicurezza, usa i token hardware che non possono essere sovvertiti, come i token TOTP / HOTP. Detto questo, usare lo smart-device è molto meglio che non avere alcun secondo fattore.
Se usi una password specifica per l'app per le app sul telefono che parlano con i server di Gmail e stai attento quando installi le app, stai bene.
Se il tuo telefono viene rubato, tutto ciò che devi fare è revocare la password specifica per l'app e fare in modo che GMail esca da tutte le altre sessioni registrate.
Vedi, mentre il fattore secondo (telefono) è compromesso, il fattore primo (password) non lo è. L'attaccante ha bisogno di entrambi. Per questo, l'utente malintenzionato dovrebbe prima ottenere la tua password GMail tramite un keylogger o un attacco MITM con un certificato falso, e quindi ottenere il tuo telefono. Molto più difficile, anche se una persona determinata può probabilmente ottenerlo. Promuovere il tuo account.
Tieni presente che un'app dannosa potrebbe ottenere sia la tua password GMail che i messaggi di autenticazione di intercettazione,
Un'opzione per mitigare la perdita del telefono è quella di avere un app blocker che richiede una password / PIN per accedere a specifiche applicazioni. Ciò ti consente di avere un modo semplice per sbloccare il telefono stesso e richiede un altro passaggio per sbloccare l'applicazione (quindi se qualcuno prende in prestito il tuo telefono per un po ', può solo accedere a funzioni non bloccate). Se il telefono viene rubato, questo dovrebbe ritardare un aggressore abbastanza a lungo da poter disabilitare l'autenticazione a 2 fattori e cambiare la password.
Questo non ti proteggerà da malware o da abili aggressori, come spiegato da @lynks, ma dovrebbe permetterti di essere relativamente sicuro senza l'inconveniente di dover inserire la password del tuo account per tutto il tempo. E dal momento che la sicurezza e la convenienza sono sempre un compromesso, non si sarebbe in grado di raggiungere un alto livello di protezione senza sacrificare comunque l'usabilità. È proprio come l'opzione "ricorda questo computer": in tal caso, il computer stesso (o, più specificamente, il contenitore dei cookie del browser) diventa il secondo fattore, quindi è sufficiente inserire un codice su computer non attendibili.
Nota aggiuntiva: se controlli la tua e-mail sul tuo telefono decine di volte al giorno, l'accesso automatico disattivato significa che dovrai digitare una password complessa o lunga nella tastiera piccola tutto il tempo, oppure Finirò usando una password debole. Se lo fai solo occasionalmente, non è un problema. Tienilo a mente, dato che fa parte del compromesso di cui ho parlato prima.
Leggi altre domande sui tag authentication google attack-prevention