Quando un utente ha effettuato l'accesso a un sistema utilizzando la propria password primaria, esiste un valore nel richiedere una seconda password distinta quando si eseguono funzioni sensibili?
Fornisce qualche vantaggio nel chiedere nuovamente la propria password principale?
Ritengo che una seconda password non sia l'autenticazione a due fattori (2FA), ma in che modo può beneficiare (se non del tutto) di chiedere la password che hanno appena usato per accedere?
D'accordo. Sicuramente non due fattori.
Le tre classi di fattori sono qualcosa che conosci (una password), qualcosa che hai (un token di sicurezza di qualche tipo) o qualcosa che sei (modello di diaframma, impronta digitale ecc.)
Se una seconda password è di qualche utilità dipende dall'applicazione e dall'ambiente.
In molti modi la seconda password potrebbe essere meno sicura da un aspetto sociale poiché è usata meno spesso e quindi è più probabile che venga scritta. Quanto meno sicuro dipenderebbe dall'eventualità che un potenziale aggressore si aggiri attorno ai tuoi utenti.
Se sei preoccupato per un attacco di forza bruta, avere due password sarebbe d'aiuto, ma non più di insistere sul fatto che il primo fosse lungo quanto la lunghezza della password combinata. La forza bruta può essere facilmente rilevata e impedita nella tua applicazione.
Potrebbe offrire una protezione limitata dallo sniffing se usato raramente, dal momento che lo sniffer potrebbe non essere in esecuzione abbastanza a lungo da vedere entrambe le password. Sebbene si stia utilizzando SSL, ciò implica un attacco man-in-the-middle o una compromissione dell'ambiente degli utenti o dei server. In ogni caso, hai problemi.
Chiedere la reinserzione della password originale garantisce che la persona che sta per eseguire la funzione di sicurezza elevata sia sempre uguale a quella che ha effettuato l'accesso. Utile in alcune circostanze.
Infine, può dare la percezione di una maggiore sicurezza, che può essere di valore commerciale in alcune circostanze.
Nel complesso, tuttavia, è probabile che qualsiasi aumento della sicurezza sia marginale.
Una seconda password (ad esempio la domanda di sicurezza) può garantire una maggiore sicurezza se utilizzata correttamente. Ad esempio, RBC utilizza 3 domande di sicurezza, scelte a caso durante il login. Questa è una sorta di rete di sicurezza che se la password è stata compromessa (sniffing, forza bruta, ecc.) La seconda password non è correlata, "imprevedibile" e potrebbe impedire l'utilizzo dell'account.
Tuttavia, la seconda "password" è molto probabilmente gestita nello stesso modo della prima. Quindi, se la prima password è stata compromessa, è probabile che anche la seconda possa essere attaccata nello stesso modo. In questo senso è più una deterrenza che una prevenzione reale. A meno che entrambe le password siano gestite e archiviate in modi completamente diversi ...
Questo è ciò che capisco almeno. Spero che aiuti in un modo o nell'altro.
Hai ragione. Una seconda password è non un secondo fattore in uno schema 2FA.
Come menzionato @drunkenRabbit, un utente probabilmente tratterà la seconda password nello stesso modo in cui tratta la prima password. Se la prima password è compromessa, è sicuro che anche la seconda password sia compromessa. Infatti, se la seconda password è sotto forma di domanda di sicurezza, potrebbe anche essere meno sicura rispetto alla prima password, poiché l'utente potrebbe non trattare la domanda di sicurezza nello stesso modo in cui è stata addestrata a non dare le loro password.
Uno schema 2FA funziona solo se il fattore è qualcosa di completamente diverso. Se la seconda password nello scenario viene modificata in una password monouso, ciò soddisfa i requisiti di uno schema 2FA poiché l'OTP non è più qualcosa che si conosce. Invece è qualcosa che hai: il dispositivo su cui ricevi l'OTP, sia esso un'app nel tuo telefono cellulare o un token hardware dedicato.
Leggi altre domande sui tag authentication passwords web-application