Token hardware vs token software basato su impronte digitali

L'impronta digitale non protegge direttamente il token (non è possibile - fino ad oggi non abbiamo un modo affidabile per scansionare in modo coerente un'impronta digitale). Il sistema operativo crittografa il token con le tue credenziali. Una chiamata API nel sistema operativo consente alle applicazioni di richiedere il token che costringe l'utente a eseguire nuovamente l'autenticazione.

Quindi i rischi per l'applicazione mobile si riducono a -

• Quanto ti fidi del sistema operativo sul tuo dispositivo?
• (relativo a quanto sopra) Quanto ti fidi del sand-boxing sul dispositivo per impedire alle applicazioni di leggere l'uno con l'altro lo spazio di memoria.
• Quanto ti fidi dell'applicazione per non posizionare il token ovunque accessibile ad altre applicazioni.
• Quanto ti fidi dei meccanismi di rilevamento delle impronte digitali per impedire la clonazione del telefono / dell'app (Personalmente, lo vedrei vicino allo zero).

Hai anche bisogno di contrastare questo contro quanto è elevato il rischio? Cioè se l'app di massa sfruttabile avrebbe coperto le perdite della banca? E sei un bersaglio ad alto rischio (ad esempio un miliardario probabilmente ha un rischio di attacco più alto rispetto alla media di Joe).

Per la stragrande maggioranza degli utenti, direi che l'app se abbinata a una password univoca e strong dovrebbe essere considerata sufficientemente sicura. Se l'app fosse compromessa, la banca avrebbe probabilmente accettato i clienti colpiti e rimborsati.

Un token hardware in teoria dovrebbe essere più sicuro - è effettivamente un sistema airgapped. Per un sistema a chiave pubblica / privata, la chiave privata non deve mai lasciare il dispositivo. Tuttavia ci sono stati problemi storici con le decisioni di progettazione e le implementazioni dei produttori.

breve: sceglierei il token hardware.

Versione lunga: per prima cosa: le persone hanno dimostrato che è possibile manomettere le impronte digitali in diversi modi. Probabilmente il modo più comune è quello di ricrearlo da un'impronta digitale con una stampante, ma ci sono più opzioni. Puoi vedere alcuni di essi nell'articolo 7 modi per battere la biometria delle impronte digitali . C'è molto di più però.

Ma anche i token HW si sono dimostrati "crackabili". È un po 'difficile da dire dalle poche informazioni che abbiamo. Dipende davvero dal token. Il punto molto più importante in questa considerazione (almeno per me) è questo: se il seme del tuo token HW viene rubato, puoi cambiarlo. Nel caso in cui la tua impronta digitale (o la sua rappresentazione digitale) diventi disponibile pubblicamente, le tue opzioni sono piuttosto limitate.

Se in realtà utilizza l'impronta digitale per autenticare il sistema, questa dovrebbe essere la tua considerazione. Ma se questo è usato sul tuo telefono, potrebbe essere davvero un token che è nel tuo telefono e protetto dal sistema operativo usando il lettore di impronte digitali per sostituire la password. In questo caso il tuo telefono è il token HW ma non ha una memoria protetta da lettura corretta come il token (dovrebbe avere). In questo caso: sceglierei anche il token HW.

Nessuna opzione è intrinsecamente migliore dell'altra.

Il token

• è vulnerabile alle app dannose sul telefono, ma può proteggere l'intero processo.

Il token hardware

• è piuttosto invulnerabile, ma l'intera catena di solito non è protetta da phishing, attacco MiM e app dannose sul tuo PC / browser.

Sebbene il token hardware sia sicuro, il problema è che in genere non ti dice che tipo di operazione stai autorizzando. È molto facile per un utente malintenzionato ingannare l'utente nella creazione di OTP per lui. Quello era un attacco piuttosto comune alle banche sicure hardware-token pochi anni fa, il buco maggiore richiedeva OTP per l'accesso - era banale da sfruttare affermando falsamente che il primo tentativo era sbagliato. SE il token software fornisce informazioni chiave sull'operazione da autorizzare, questo rischio viene eliminato.

Quindi la domanda si riduce piuttosto a "quale parte della catena è più facile da proteggere?" Se sei sicuro della sicurezza del tuo computer con il browser, è la connessione alla banca e (soprattutto) la tua vigilanza contro il phishing, quindi il token hardware è migliore. Se non installi app da fonti non attendibili, probabilmente il telefono è più facile da proteggere.

Se il token mobile funziona offline (basato su codici challenge-response) e puoi dedicare un telefono che è permanentemente offline dopo l'attivazione dell'app token (airgap), è di gran lunga la soluzione più sicura (anche se ingombrante).

L'impronta digitale non è la migliore per la sicurezza. La password o il PIN correttamente implementati sarebbero più sicuri. Ma se i dati sono memorizzati correttamente nell'enclave hardware del telefono, è abbastanza buono.

Fondamentalmente, entrambe le opzioni possono essere implementate correttamente o male.

Per questa autenticazione a più fattori, sceglierei l'opzione di impronte digitali, per la facilità d'uso (non hai nulla che potresti smarrire). Ciò presuppone che, poiché la banca offre entrambi, essi ritengono che entrambi offrano una sicurezza adeguata e fornirebbero un'assicurazione per un attacco di successo. Non credo che un'applicazione per fingerprint biometrico sia sicura come un token hardware, in quanto esistono attacchi online se il cellulare viene compromesso, ad esempio. Il token hardware dovrebbe essere fisicamente rubato da te per qualsiasi attacco di cui sono a conoscenza (poiché un'altra risposta ha indicato che dovrebbe fornire un'intercapedine tra Internet e il segreto che contiene).

Anche con l'opzione impronta digitale hai ancora la possibilità di questo accadere. È una vecchia storia ma mi dà ancora i brividi.

In realtà è una scelta molto semplice.

Token hardware: puoi perderlo o può essere rubato. Ma se ciò accade, può essere sostituito.

Impronta digitale: molto improbabile da perdere, improbabile che venga rubato. Può essere copiato senza che tu te ne accorga. Non può essere sostituito.

La sicurezza è sempre relativa. Oggi questo è più sicuro, domani qualcuno scoprirà un nuovo attacco su di esso. Ma i fatti di base non cambiano.

Se fai tutto o quasi tutto il tuo banking da casa, dove puoi mantenere il token hardware sicuro, prendilo. Se ne fai molto sulla strada o da vari luoghi, la facilità e la convenienza dell'impronta digitale vince. Questo è un bene IMHO da un POV di sicurezza perché con l'impronta solo nessuno può rubare i tuoi soldi (sarebbe comunque necessario il nome utente / password combo). Impronte digitali da solo non considererei molto sicuro.