Autenticazione a due fattori con PIN: dove / come si inserisce il PIN?

Question

Autenticazione a due fattori con PIN: dove / come si inserisce il PIN?

#1 da (5 voti)
#2 da (2 voti)

3

Supponiamo di avere due siti Web con meccanismi 2FA altrimenti identici.

Meccanismo 1

Devi inserire un PIN nel tuo generatore di token per recuperare la tua password One Time. Sul sito web, si utilizza la password e l'OTP da solo per accedere.

Meccanismo 2

D'altra parte, l'OTP è accessibile solo fisicamente avendo il dispositivo. Sul sito web inserisci la password e poi [PIN] + OTP.

Mi chiedevo se ci fosse una differenza dimostrabile nella sicurezza fornita da questi due metodi? Sono uguali ed è puramente una scelta progettuale, o ci sono ulteriori considerazioni da fare?

Ad esempio, è chiaro che in Mechanism 2 è possibile avere il PIN intercettato elettronicamente. Dopo di che, un utente malintenzionato avrebbe solo bisogno di un accesso temporaneo al proprio generatore di token per accedere. Ma poi, se l'attaccante è fisicamente locale, probabilmente potrebbero ottenere il tuo PIN in qualche altro modo (CCTV, navigazione a spalla ecc.)

multi-factor hardware-token

posta Dan 11.08.2017 - 10:21

fonte

2 risposte

Leggi altre domande sui tag multi-factor hardware-token

Funzionerà? Identità rivelatrice (facebook) della persona che fa clic sul link appositamente predisposto Sono davvero compromesso?

score 5 · Answer 1

Nel processo di autenticazione l'utente inserisce una password (qualcosa che conosce) e un valore OTP , che è stato generato da "somehting he owns" - il generatore di token.

Penso che puoi modificare il primo compoment "qualcosa che conosci" in questo modo, che fornisce lo stesso livello di sicurezza nel meccanismo 1 e nel meccanismo 2.

Secondo me è importante dare un'occhiata al possesso, "qualcosa che possiede". Quindi la domanda è, che tipo di generatore di OTP stai usando qui? Quali sono i vettori di attacco per questo generatore di token?

Immagine hai un generatore di token hardware, quindi un utente malintenzionato ha bisogno dell'accesso veramente fisico al dispositivo. (Supponiamo che la chiave segreta non sia stata compromessa durante la consegna dell'hardware).

D'altro canto, se si utilizza un generatore di software OTP come un'applicazione per smartphone, il possesso potrebbe essere soggetto a ulteriori vettori di attacco . Cioè Immagina l'archiviazione dello smartphone degli utenti che viene copiato da un programma canaglia di aggressori. Quindi potrebbe essere una buona idea utilizzare il meccanismo 1 e utilizzare il PIN dello smartphone locale per crittografare il segreto nella memoria dello smartphone. Ciò proteggerebbe da attacchi remoti sullo storage dello smartphone: attacchi remoti su hardware pyhsical o "non possibile".

Quindi secondo me: se hai un reale fattore di possesso, uno che non è online attaccabile, non hai bisogno di un PIN locale.

E: quando accedi al sito web non hai bisogno di Password + PIN + OTP . Due "conoscenze" valgono quanto una conoscenza. Quindi usa semplicemente Password + OTP .

score 2 · Answer 2

Praticamente darò la stessa risposta di @cornelinux, ma da una diversa angolazione.

Modello di minaccia

Ogni volta che si confrontano due opzioni di protezione l'una contro l'altra, è necessario considerare prima i modelli di minaccia che proteggono. Solo quando stanno proteggendo la stessa cosa puoi confrontare le mele con le mele.

PIN sul server: qui il PIN che avrei utilizzato come seconda password. (Guadagni qualcosa da una seconda password?)

PIN sul dispositivo: qui stai proteggendo l'OTP da un utente malintenzionato che ha accesso fisico al dispositivo. Essenzialmente si tratta di un secondo dispositivo di blocco dello schermo, ma che gli utenti non possono scegliere di disabilitare per comodità.