Posso riutilizzare il token a doppio fattore di un altro fornitore nel mio sistema? (Evita il rigonfiamento del token fisico)

Question

Posso riutilizzare il token a doppio fattore di un altro fornitore nel mio sistema? (Evita il rigonfiamento del token fisico)

#1 da (5 voti)

6

Ho letto le tecniche di autenticazione multifattore open source denominate HOTP RFC 4226 e TOTP RFC 6238 e ho capito che un singolo numero casuale è la base per la crittografia del token ... e che questo numero deve essere reso segreto o il beneficio multi-fattore è rotto.

Ho anche notato che alcuni dei miei utenti utilizzano rispettivamente una chiave YubiKey, una chiave RSA e una chiave Gemalto per servizi bancari, VPN e web Amazon.

Mi piacerebbe offrire l'autenticazione a più fattori, ma voglio evitare che il token fisico sia gonfio per l'utente finale. (Contengono troppi token)

Domanda

Di quali informazioni avrei bisogno per riutilizzare uno YubiKey, RSA o Gemalto esistente (o qualsiasi altro) nel mio stesso sistema?

Suppongo che l'utente dovrà darmi il numero di serie (così posso ricavare il materiale della chiave) e dovrò determinare l'algoritmo crittografico per ogni chiave.

authentication cryptography multi-factor

posta random65537 31.12.2012 - 22:48

fonte

1 risposta

Leggi altre domande sui tag authentication cryptography multi-factor

Il modo migliore per gestire l'incidente di furto d'identità? posizioni AIA / CRL per root offline

score 5 · Answer 1

Probabilmente non vuoi continuare a farlo in quel modo, in quanto ciò potrebbe seriamente compromettere le chiavi di queste cose. Con le informazioni che avresti allora, il conto bancario del tuo utente è ora più a rischio perché un utente malintenzionato deve solo interrompere il tuo sistema, anziché la banca o un token di sicurezza rafforzato.

Probabilmente il tuo problema più grande sarà il fatto che per i token che utilizzano un HOTP basato sugli eventi o protocolli correlati, devi mantenere i valori attesi in sincronia tra sistemi su cui non hai necessariamente alcun controllo. Altrimenti si corre il rischio di bloccare l'utente fuori dalla propria banca.

Inoltre, normalmente è necessario più del numero di serie. Esistono semi o IV utilizzati inizialmente per avviare la sequenza e progettati per non essere letti dal token.