Tradizionale 2FA contro PIN + OTP

Invece di:

1. password alfanumerica di lunghezza ragionevole (36 possibili caratteri su, diciamo, una lunghezza massima di 8 caratteri per un utente tipico) [non tiene conto di caratteri speciali, ma ho già il sospetto che ci siano altri problemi]
2. gettone

Il sistema utilizza:

1. Password a 4 cifre (10 possibili caratteri su una lunghezza di 4)
2. gettone

Questo è dimostrabilmente un sistema molto più debole, anche se progetto un sistema di password molto debole (descritto sopra). Inoltre, l'UX è dispari, ma questo è un altro fattore.

Ma è troppo debole?

Il fatto che il token cambi ogni 30 attenua un sacco di problemi. Avere una password significa che se qualcuno ottiene il generatore di token, l'account ha ancora alcune protezioni. Ma le 4 cifre sufficienti di una protezione?

Due rischi da considerare:

• Qualcuno bruteforcing del pin + coppia token

Questo dipende interamente dalla velocità con cui il sistema consente i tentativi all'interno di una finestra di 30 secondi. Quindi, forse è abbastanza sicuro. Ma vogliamo veramente fare affidamento su un acceleratore di sistema come misura di sicurezza? I Throttles sono una buona misura di backup, non una mitigazione primaria.

• Qualcuno fa bruteforcing del pin se ha il generatore di token

Matematicamente, passare a tutte le combinazioni richiederebbe 10.000 ipotesi (in media 5000 per trovare successo), se inserite manualmente, e se assumiamo perni perfettamente casuali. Questo è un sacco di se. Di nuovo, dipende da quanti tentativi il sistema permetterà. Inoltre, i pin sono notoriamente facili da indovinare.

Confrontalo con una "password complessa" (ma vuoi definirla) che cambi di frequente. Ecco la cosa: senza il token che cambia, cambi il tempo di bruteforce da 30 a 2 settimane (nel tuo scenario). Ora, il fattore rilevante è la complessità (o entropia) della tua password e del tuo sistema per cambiarla in modo affidabile frequentemente. Ancora una volta, molte dipendenze.

Come puoi vedere, è difficile confrontare i fattori che hai esposto. Un sacco di "se". Per i fattori su cui ho il controllo e i rischi di cui sono preoccupato, potrei scegliere il token pin + (supponendo che il 2FA sia implementato correttamente (whoops, un altro 'se')).

Ma in realtà, sceglierei un altro servizio in grado di implementare correttamente 2FA.

Non è necessario limitare la parte della conoscenza (primo fattore) a un PIN di 4 cifre. A meno che non stiano usando un prodotto molto cattivo e vecchio nel back-end. Penso che RSA lo abbia inizialmente fatto. Ma hey - RSA SecurID è nato nel 1986!

Tutti gli altri prodotti al giorno d'oggi consentono un "PIN", che può essere acutalmente una password.

Ma c'è anche un altro aspetto, dovresti prendere in considerazione:

Una password più lunga (fattore singolo) ha ovviamente più entropia di un PIN a 4 cifre e un codice OTP a 6 o 8 cifre. MA: La tua password è memorizzata in un database di password, che a volte ... ... beh, si perde. E poi l'attaccante può forzare la hash della tua password.

Ovviamente il "PIN" di una soluzione 2FA viene anche con l'hash / memorizzato da qualche parte. E anche la chiave segreta, che viene utilizzata per generare il valore OTP, viene memorizzata da qualche altra parte - si spera crittografata. Ma questi sono in genere luoghi diversi e metodi di hashing / crittografia diversi che non dovrebbero essere vulnarabili alla stessa iniezione SQL.

Sono coinvolto nello sviluppo di una soluzione 2FA, che utilizza diversi modi per archiviare queste informazioni: link

Inoltre: è possibile utilizzare anche il 1 ° fattore (password) da un'altra posizione come una directory LDAP. In questo modo le modalità di attacco variano molto.

Questo è il modo in cui 2FA veniva sempre fatto con i token ben prima che arrivasse l'autenticazione in due passaggi. Il problema principale in due passaggi è che si perde se il nome utente e la password sono corretti prima che avvenga l'autenticazione. C'è un vantaggio operativo nel metodo pin-append: funziona con qualsiasi front-end che supporta nome utente e password. Molte VPN ecc. Non supportano due passaggi.