Authy: la modalità multi-dispositivo implica che tutte le chiavi siano memorizzate sui loro server?

Question

Authy: la modalità multi-dispositivo implica che tutte le chiavi siano memorizzate sui loro server?

#1 da (5 voti)
#2 da (1 voti)
#3 da (0 voti)
#4 da (0 voti)

6

La mia comprensione è che se si utilizza Authy, senza opzioni di backup / multi-dispositivo, nessuna delle chiavi del proprio account è memorizzata sui propri server. Tutto risiede sul tuo singolo dispositivo.

Vale a dire, anche se i server Authy vengono violati e tutti i loro dati sono compromessi e l'hacker conosce la tua password di Gmail, non sarà ancora in grado di accedere al tuo account Gmail perché non conosce le tue "chiavi Google 2FA".

Se si utilizza la modalità multi-dispositivo su Authy, è ancora vero?

Leggendo il loro post sul blog ( link ) e la descrizione della funzionalità, non sospetto. Affinché i tuoi dispositivi multipli siano sincronizzati tra loro, i loro server di back-end dovranno conoscere la tua chiave 2FA di Gmail e ridistribuirla a tutti i tuoi dispositivi secondo necessità. Ciò implica che se i loro server vengono violati e i loro dati vengono compromessi, anche il tuo account Gmail sarà compromesso.

La mia ipotesi è corretta? Se un utente malintenzionato conosce la mia password di Gmail ed è anche in grado di hackerare il server / database di Authy e sto utilizzando l'opzione multi-dispositivo, l'hacker potrebbe accedere al mio account Gmail?

authentication server multi-factor

posta RvPr 15.08.2015 - 22:06

fonte

4 risposte

Leggi altre domande sui tag authentication server multi-factor

Sicurezza WiFi con IEEE 802.1X: quanto è sicuro? Scadenza del certificato OpenSSL

score 5 · Answer 1

Almeno nelle ultime versioni dei token di Autenticatore dell'applicazione Android di Authy, come il TOTP di Gmail, vengono inviati a api.authy.com solo dopo essere stati crittografati utilizzando una chiave AES derivata dalla tua password di backup e un sale generato in modo casuale utilizzando PBKDF2.

In base alle fonte le informazioni inviate dall'API a il tuo cellulare ha il seguente formato:

 {
 "account_type": "gmail", 
 "encrypted_seed": "UZNL+UPVK+5RYUoBlhkuQzCcOb3nMdYxKGFmHEZ4TMxTX7MOPJUayQAMDVJ", 
 "name": "My Gmail Account", 
 "original_name": "Google:[email protected]", 
 "salt": "N2QqyJrn7cOHBqTY32uY1cL4IHCANm", 
 "unique_id": "0000000000"
 },

In altre parole, il seme segreto TOTP di Gmail dovrebbe essere sicuro con Authy anche se vengono compromessi e il database è trapelato.

score 1 · Answer 2

Innanzitutto, ricorda che Authy ti consente di utilizzare qualsiasi token TOTP (come l'autenticatore di Google), ma offre anche il proprio metodo 2FA proprietario. Nel metodo di Authy, il fornitore dell'account deve integrare Authy nel loro meccanismo di autenticazione, non solo implementare lo standard TOTP. In questo metodo, Authy emette i semi e questo consente anche loro di supportare le notifiche push quando stai tentando di accedere a uno dei tuoi account che utilizza questo metodo.

Quindi per il multi-dispositivo che usa il metodo Authy, il seme non deve essere condiviso perché può emetterne uno nuovo. Ma per un account TOTP, non possono emettere un nuovo seme - il fornitore dell'account deve farlo. Quindi la loro soluzione è quella di archiviare quelli per te nei loro server, crittografati da ciò che chiamano la tua password di backup.

(Questo è anche ciò che ti permette di recuperare i tuoi token se perdi il tuo dispositivo.)

Quindi vedi, stavano memorizzando quelli comunque se avevi abilitato i backup. Se non vuoi che vengano archiviati questi semi, puoi fare in modo che i backup e i dispositivi multipli siano disattivati, ma che senso ha usare Authy su Google Authenticator? Anche se i server di Authy sono compromessi, sei ancora l'unica persona che conosce la tua password di backup (che è, si spera, unica). È un buon sistema IMO.

score 0 · Answer 3

Dal post stesso del blog affermano che, diversamente da Google Authenticator, il sistema Authy genera effettivamente nuove chiavi separate per ogni dispositivo. In quanto tale, non vedo alcuna ragione per cui avrebbero bisogno di memorizzarli in modo che un utente malintenzionato che comprometta il proprio database non dovrebbe poterli accedere.

Un utente malintenzionato che ha compromesso uno dei tuoi dispositivi avrebbe accesso a un set di chiavi univoche per quel dispositivo. Una volta revocate le chiavi a cui non dovrebbero avere accesso.

score 0 · Answer 4

Vedi il loro post sul blog per chiarimenti su questo. Apparentemente tutto il criptaggio e la decifrazione avvengono sul dispositivo, non nel cloud. Le chiavi seed crittografate, le IV distinte utilizzate nella crittografia di ciascuna chiave e il Salt utilizzato per hash la password di backup (e potenzialmente altre informazioni sul meccanismo di hashing utilizzato) vengono inoltrate al server. Se gli utenti dimenticano la loro password di backup, non possono decodificare le loro chiavi importate su un nuovo dispositivo.