Quanto sono sicuri gli "autenticatori mobili" rispetto ai portachiavi tradizionali?

Rispetto all'idea dell'autenticazione a più fattori, qualsiasi fattore aggiuntivo oltre a qualcosa che conosci aggiunge un ulteriore livello di complessità per consentire a qualcuno di ottenere l'accesso non autorizzato a un account. Il secondo fattore che molte organizzazioni utilizzano è qualcosa che hai che sia un fob di sorta (OTP basato su evento o tempo), smartcard (HSM), telefono (SMS, chiamata) o un'applicazione (nel caso di token "soft" (un'app installata sul telefono o sul computer)).

I key fobs sono diventati popolari, ma il settore della sicurezza ha visto che lo sfruttamento è possibile (fai una ricerca su RSA e vedrai perché). I key fob possono essere rotti se qualcuno interrompe il sistema. Invece di smontare ogni token là fuori, un hacker ha fatto irruzione in RSA e ha ottenuto l'accesso (anche se non ricordo se questo è stato "provato" o meno) alla salsa segreta che rende ogni token univoco. Allo stesso modo, smartcard e token USB possono essere danneggiati se l'avversario attacca con successo un livello superiore nello stack o processo tecnologico per garantire che ciascuna smartcard sia unica. Gli autenticatori mobili possono essere violati (come con RSA o altri mezzi), ma l'idea non è mai stata quella di bloccare il 100% degli attacchi, il che è un costo proibitivo per la maggior parte delle organizzazioni. L'obiettivo è implementare tecnologie preventive (ove possibile) e investigative tali che i tentativi di accesso non autorizzati siano bloccati o identificati in caso di esito positivo. A tal fine, i fob per dispositivi mobili e hardware aggiungono ancora valore.

Forse a tuo avviso, gli autenticatori mobili probabilmente forniscono una protezione sufficiente per gli utenti di Battle.NET. Fondamentalmente, stanno proteggendo gli utenti dal furto di denaro o dall'accesso all'account di qualcun altro. Nel caso in cui qualcuno sia realmente interessato a rompere il sistema, l'hardware o gli autenticatori mobili (o anche biometrici) stratificati in terzo e quarto fattore potrebbero non essere sufficienti. Pertanto, dal punto di vista dei costi, gli autenticatori mobili sono meno costosi da implementare, più semplici da utilizzare per gli utenti e forniscono un ulteriore livello di protezione. Gli autenticatori hardware sono più costosi sia per l'utente che per il fornitore del gioco da implementare e mantenere.

Per riassumere, mobile è abbastanza buono per il caso d'uso.

È un compromesso, entrambi hanno diversi vantaggi e punti deboli. Gli autenticatori mobili IMO sono molto più potenti dei token classici in pratica, se costruiti correttamente.

Il loro grande vantaggio è che possono mostrare ciò che stai autorizzando in un posto a cui un trojan sul tuo PC non ha accesso.

Ad esempio con il banking online potrebbe visualizzare l'importo trasferito e il numero dell'account di destinazione.

Per i giochi può distinguere semplici login per giocare e operazioni ad alto rischio come cambiare password, email o disabilitare l'autenticatore.

Il loro punto debole è che è più facile compromettere uno smartphone piuttosto che compromettere un semplice token.

Given the connectivity of a mobile phone, it seems vastly more vulnerable than a device with a button and display which would need to be disassembled to gain access (but even with direct hardware access, is the key protected?) Given that both add some additional security and the pool of people who opt not to use it is still large (if not the majority), this is probably a non-issue in the Battle.NET case, but generally, how do they compare?

La tua domanda è davvero: "È un'applicazione desktop che genera un token di sicurezza sicuro come un dispositivo fisico che fa lo stesso"

La risposta a questa domanda è: dipende

Recentemente si è scoperto che l'applicazione RSA Windows che genera un token di sicurezza presenta un difetto di sicurezza non solo per il suo funzionamento, ma perché utilizza una funzionalità di sicurezza integrata in Windows per proteggere i dati dei token. Per mantenere questa affermazione breve, è stato scoperto che il token può essere copiato, il che consente di generare token futuri.

Questo difetto esiste anche in alcune versioni degli autenticatori mobili. Ad esempio, è possibile "duplicare" l'autenticatore Blizzard Mobile e scrivere un'applicazione desktop se si esegue il root / jailbreak del proprio dispositivo Android / IPhone e si copia il token seriale e segreto. Questo perché il file che contiene queste informazioni almeno su Android non è protetto bene (operazione di spostamento). Nel caso di un IPhone jailbroken, le funzionalità di sicurezza di base nel sistema operativo possono essere disabilitate, che normalmente non possono essere disabilitate, per fare qualcosa di simile.

Alla fine un'applicazione su un sistema chiuso come un telefono cellulare è molto più sicura di un'applicazione desktop tradizionale .

Considero Android, Windows Phone 7.xe iPhone come sistemi chiusi

Alcuni dei problemi con l'applicazione desktop Windows RSA probabilmente stimolano i precedenti compromessi in base a come funziona l'algoritmo

Suppongo che tu stia parlando di un dispositivo mobile di qualche tipo che visualizza o trasmette una password monouso derivata da un segreto condiviso e l'ora o un contatore condiviso. Tali dispositivi si dividono in tre categorie:

• Un dispositivo autonomo con display.
• Un dispositivo autonomo con un'interfaccia USB (o altra) a cui è necessario accedere tramite un computer.
• Un dispositivo generico come un telefono cellulare.

La sicurezza relativa dei vari tipi di dispositivi dipende dal modello di minaccia.

La minaccia più ovvia è che un utente malintenzionato ruba o prende in prestito il dispositivo. In questo scenario, non importa quanto sia difficile estrarre la chiave dal dispositivo: l'hacker deve semplicemente essere in grado di usarlo nel solito modo.

L'hacker deve solo estrarre la chiave se vuole essere in grado di autenticarsi in seguito, ma vuole che il suo potenziale di accesso non venga rilevato. Con questo obiettivo, l'utente malintenzionato deve ottenere l'accesso temporaneo al dispositivo, estrarre la chiave e quindi restituire il dispositivo al proprietario. Dopo questo, l'utente malintenzionato può passare inosservato fintanto che non effettua connessioni troppo frequenti all'account se l'OTP è derivato da un contatore o indefinitamente se l'OTP è derivato dal tempo.

La sicurezza della chiave contro un utente malintenzionato con accesso fisico è importante solo se si desidera proteggere dall'accesso nascosto. Un dispositivo standalone può avere una protezione migliore contro gli attacchi fisici rispetto a un telefono cellulare, tuttavia tale protezione costa denaro e i token di autenticazione sono di solito un articolo a basso costo. I telefoni cellulari di fascia alta hanno una protezione limitata contro gli attacchi fisici; ad esempio, non è così semplice estrarre i dati da un iPhone. La maggior parte dei telefoni cellulari contiene inoltre una scheda SIM , che è resistente alla manomissione; alcuni provider OTP possono installare la chiave OTP sulla SIM. Alcuni telefoni cellulari contengono un elemento di sicurezza incorporato, simile alla SIM ma controllato dal produttore del dispositivo anziché dall'operatore di rete.

La maggior parte dei token OTP mostra l'OTP con la semplice pressione di un pulsante. Un telefono cellulare ha la possibilità di richiedere l'autenticazione (PIN, pass-gesture, ...). Quanto questo migliora la sicurezza dipende dal fatto che il telefono venga rubato sbloccato e quanto sia strong l'autenticazione.

C'è una minaccia in cui il telefono cellulare ha un leggero vantaggio: che l'utente perderebbe il token. Questo è in aggiunta al vantaggio di usabilità di avere un singolo dispositivo. Un utente che ha molti token OTP ha più probabilità di perdere uno di loro, o di non notarne il furto per un po ', di quanto probabilmente non si accorga del suo cellulare.

Una minaccia diversa è quella del malware sul dispositivo. I dispositivi standalone sono praticamente immuni, supponendo che fossero puliti quando l'utente li ha ottenuti. I telefoni cellulari sono vulnerabili; un utente malintenzionato che può installare malware che recupera token OTP ottiene l'accesso remoto alle password monouso. I dispositivi senza il proprio display sono altrettanto vulnerabili al malware sul computer in cui sono collegati, sebbene questo malware sia in grado di ottenere un OTP solo quando il dispositivo è connesso.

In sostanza, il modo in cui lo vedo Con un token fisico da RSA, ci sono solo pochi punti in cui un utente malintenzionato può ottenere il file Seed per poter duplicare il token nel software. N. 1 di RSA, n. 2 da qualsiasi luogo in cui sono stati archiviati i supporti che RSA ha inviato a te e il n. 3 al server di autenticazione.

Con i token software da RSA è possibile aggiungere a tale elenco il PC o il telefono cellulare su cui è in esecuzione il token software.

Con TOTP (token software in stile autenticatore di Google) c'è il server di autenticazione e il PC o il telefono cellulare che esegue l'app token. Il server di autenticazione genera il codice seme stesso, quindi non ci sono terze parti come RSA da attaccare.

Detto questo, non sono un crittografo, quindi non sono qualificato per parlare dei punti di forza e di debolezza relativi tra lo stile TOTP di Google e l'algoritmo di RSA. (o di qualsiasi altro)