Opzioni di autenticazione con token multimodali fuori banda adatti come da raccomandazioni NIST 800-63B (pubblicato a giugno 2017)

5

Nel nostro progetto di applicazione web ci viene richiesto di stabilire l'autenticazione MF con combinazione di token segreto memorizzato (password) e token fuori limite. In precedenza avevamo in programma di implementare SMS per il meccanismo di consegna dei token. Ma la recente raccomandazione del NIST la inserisce nella categoria RESTRICTED, quindi al momento sembra rischioso per due motivi:

  1. Come nella categoria RESTRICTED, è necessario eseguire più attività di supporto (come l'analisi del rischio, metodi per la portabilità del numero di telefono, la modifica del dispositivo ecc.) per garantire la conformità con qualsiasi standard che adatta questo framework. Il NIST dice "L'uso della PSTN per la verifica fuori banda è RISERVATO come descritto in questa sezione e nella Sezione 5.2.10 ..."
  2. Anche se lo implementiamo con precauzioni, il NIST può contrassegnarlo come "vietato" in un prossimo futuro (lo hanno anche menzionato sulla carta). In tal caso, sarebbe necessario completare il cambiamento di metodo e implementazione. Che sicuramente causerà il ri-lavoro.

Quindi il mio problema ruota intorno a queste due domande:

  1. Che cosa può essere usato in alternativa?
  2. I token OOB generalmente dovrebbero funzionare su una banda diversa. Se usiamo qualcosa che funziona su browser come GAuth sarebbe OK? Nella prima impressione tutto (applicazione web e token di autenticazione) sembra funzionare sulla stessa banda.

Il token RSA è sicuramente una soluzione, ma non è fattibile per noi fornire token per migliaia di utenti.

Anche l'app Authenticator (TOTP) sembra essere una soluzione, ma è l'unica? E se lo è, che cosa dovrebbe essere curato per mantenere e giustificare la clausola OOB?

Fammi sapere se c'è qualche interpretazione diversa dei consigli NIST o di qualsiasi altro aspetto?

    
posta Sum 08.11.2017 - 09:14
fonte

1 risposta

0

Gli SMS come secondo fattore non sono più considerati sicuri a causa della facilità di spoofing e di intercettazione degli SMS.

Per l'MFA più sicuro, dovresti utilizzare un dispositivo separato da qualsiasi servizio a cui stai accedendo. Questo è sempre più difficile in un mondo in cui le persone usano i telefoni per tutto!

Fino a poco tempo fa, molte agenzie di sicurezza governative non ti permettevano di utilizzare token software di alcun tipo che escludevano anche qualsiasi app su un telefono. Significativi miglioramenti nella sicurezza degli smartphone (almeno per alcune piattaforme) hanno visto i recenti cambiamenti in quella posizione e le app di autenticazione sono ora comunemente usate.

Vengono utilizzati anche altri autenticatori occasionali fuori banda, inclusi e-mail e telefono. Certo, ognuno ha i propri problemi e, a mio parere, l'app di autenticazione rimane l'opzione migliore perché almeno tende ad essere più ovvia se il dispositivo viene perso o rubato.

L'unica avvertenza che vorrei aggiungere è per i dispositivi Android. Android non deve essere considerato un dispositivo sicuro senza un'attenta scelta dell'hardware e l'aggiunta di strumenti di sicurezza per rafforzare il sistema operativo.

    
risposta data 12.11.2017 - 16:39
fonte

Leggi altre domande sui tag