Autenticazione a fattore singolo multiplo rispetto a più fattori

Questa definizione che condividi per l'autenticazione a più fattori non soddisfa la definizione di settore comunemente accettata. Multi-factor significa semplicemente che due o più fattori, in genere appartenenti a diverse categorie di autenticatori, vengono utilizzati per l'autenticazione. Non è specifico se questi fattori sbloccano l'accesso a un "segreto" locale che viene utilizzato per ulteriori autenticazioni o inviato direttamente al server di autenticazione.

Entrambi gli scenari implicano ancora l'autenticazione a più fattori. Ciò che questi fattori sbloccano per quanto riguarda i segreti, i token di sessione o simili non dovrebbe in realtà influire sul loro nome.

Non posso dire di aver mai sentito prima il termine "autenticatore a fattore singolo multiplo". Interpreterei questo per indicare che hai un sistema che utilizza due fattori della stessa categoria, ad es. una password e un PIN.

L'autenticazione a più fattori è in genere più sicura del singolo fattore, in quanto dovrebbe essere più difficile per un utente malintenzionato compromettere più fattori. Potrebbero essere in grado di indovinare la tua password, ma è più difficile indovinarlo e ottenere un tokencode OTP valido.

Ho letto la tua domanda diverse volte e mi sembra ancora un'insalata di parole. Lavoro in Internet banking da 20 anni e questi termini mi sembrano tutti sbagliati.

I termini sono importanti perché la conformità alle normative (PCI-DSS e FDIC, soprattutto) sono questioni centrali. Dalla guida FDIC :

Authentication methods that depend on more than one factor are more difficult to compromise than single-factor methods. Accordingly, properly designed and implemented multifactor authentication methods are more reliable and stronger fraud deterrents. For example, the use of a logon ID/password is single-factor authentication (i.e., something the user knows); whereas, an ATM transaction requires multifactor authentication: something the user possesses (i.e., the card) combined with something the user knows (i.e., PIN). A multifactor authentication methodology may also include “out–of–band”5 controls for risk mitigation.

Come puoi desumere da quanto sopra, un sistema MFA tipicamente trarrà da due o più categorie di seguito:

• Qualcosa che l'utente conosce (ad esempio una password)
• Qualcosa che l'utente ha (ad esempio un token)
• Qualcosa che l'utente è (ad esempio biometrico, come un'impronta digitale)

Non sono sicuro di cosa sia un "verificatore" nella tua domanda. Intuitivamente per me un verificatore è un sistema che convalida una richiesta di autenticazione, ma sto pensando al tuo professore che il verificatore è il cliente o l'utente.

Non sono sicuro di cosa si intenda per "autenticatore". Il termine può riferirsi a un sistema che esegue l'autenticazione (ad esempio un server di eBanking) o può riferirsi a un generatore di token basato sul tempo (hardware o software) fornito a un utente finale (ad esempio un RSA fob o l'app di authenicator fornita di Blizzard per le persone che giocano a World of Warcraft o Overwatch).

In nessun caso l'intenzione dell'autenticazione è di proteggere un segreto. Lo scopo dell'autenticazione è stabilire l'identità di un agente (utente o sistema) che desidera utilizzare un servizio.

A rischio di confonderti, suppongo che il tuo professore stia facendo una distinzione tra il MFA che viene presentato simultaneamente rispetto all'MFA che vengono presentati in serie. Presentarli in serie ha il vantaggio di proteggere il secondo fattore dagli attacchi MITM o replay, perché può essere diverso ogni volta. Ad esempio, se una banca ti chiede la tua password, e poi e solo dopo ti chiede di rispondere a una domanda di sfida, un hacker potrebbe intercettare la risposta ad entrambi, solo per scoprire che quando tenta di usarli, la domanda di sfida è cambiata e le informazioni che ha catturato non possono essere utilizzate.

Dalla tua descrizione sopra, sembra che quello che il tuo professore chiama un autenticatore di più fattori sarebbe un sistema come un terminale Chip e PIN per carte di credito, dove l'utente deve prima inserire il proprio chip , quindi inserire il loro PIN. Il terminale client passa il PIN alla scheda, che quindi utilizza il PIN insieme a una chiave segreta memorizzata all'interno del chip per produrre un singolo messaggio crittografico da consegnare al computer host della banca. L'host della banca verifica crittograficamente che il codice PIN corretto è stato utilizzato con il Chip e quindi autentica la transazione che autorizza il trasferimento dei tuoi soldi al negozio.

Un autenticatore a fattore singolo multiplo sarebbe un sistema in cui ti vengono presentate due schermate: inserisci il tuo PIN, quindi inserisci il valore dal token che porti in tasca. Oppure inserisci il tuo PIN e premi il pollice sul lettore. I due fattori non sono correlati alla fine del client della transazione; entrambi sono verificati in modo indipendente dal sistema host. L'host non convalida la transazione fino a quando entrambi gli autenticatori non vengono verificati in modo indipendente.

Ciò che la tua descrizione sta sorvolando è che un Chip in un sistema "Chip Authenticator" a più fattori è in grado di eseguire un'autenticazione a fattore singolo proprio lì sul sito, senza il vantaggio del sistema host. Inserendo un PIN errato, il Chip si rifiuterà di comunicare. Immettendo tre PIN errati e il Chip bloccherà l'utente fino a quando la banca non effettuerà il reset della carta. Quindi ci sono ancora due autenticazioni indipendenti, PIN to Chip (locale) e Chip to bank (remoto). Ma solo uno (rubare il PIN) può essere rubato da un aggressore.

La differenza principale è che il Chip è un rappresentante locale della Banca. È come avere un piccolo banchiere in tasca. La tua banca non si fida del terminale, non si fida di te, si fida solo del suo piccolo banchiere. Quindi la tua comunicazione con il Chip è l'autenticazione a fattore singolo (il PIN). Il Chip utilizza sia il tuo PIN sia il suo segreto interno per autenticare l'utente in banca in un singolo messaggio. In questo sistema, la banca deve a malapena fidarsi del terminale. Il terminale può anche essere compromesso: immagina di usare la tua Chip Card in un negozio gestito da un ladro, dove il suo terminale malvagio copia il tuo PIN e il numero della tua carta. Ma solo conoscere il PIN e il numero di carta non è sufficiente per rubare dal tuo account - la banca non autorizza il PIN e il numero della carta, autorizza solo il messaggio e il numero della carta del chip. E il tuo Chip parlerà solo con la banca mentre è nel lettore. Togli fuori il Chip ed è di nuovo sicuro.

Il multiplo autenticatore a fattore singolo sarebbe costituito da due messaggi separati. Il negozio di un ladro potrebbe rubare il tuo PIN e poi rubare il numero inserito che è stato visualizzato sul tuo token. Oppure potrebbero rubare il tuo PIN e fare una copia della tua identificazione personale. L'utente malintenzionato potrebbe quindi riprodurre questi messaggi per autenticarsi come se si trattasse di un altro host. In questo caso, tutto il trust esiste in qualsiasi sistema in grado di intercettare entrambi i messaggi.

Ci sono stati altri sistemi commerciali che hanno trasformato più autenticatori a fattore singolo in autenticatori a più fattori nell'hardware. Alcuni anni fa una società commercializzava un dispositivo di lettura di un pollice / PIN pad, in cui l'utente inseriva un PIN e premeva il pollice su uno schermo. Si noti che mentre è possibile copiare un'identificazione personale e che è possibile copiare un PIN, il dispositivo ha combinato il PIN e un "cancelletto" dell'identificazione personale con un algoritmo crittografico (basato su una chiave segreta incorporata nel lettore) e ha inviato un singolo messaggio di autenticazione all'ospite Pertanto, l'intercettazione del messaggio potrebbe non recuperare né il PIN né l'identificazione personale dal messaggio. Tuttavia, un ladro potrebbe ancora presentare un'identificazione fittizia a un lettore; e un lettore potrebbe essere un falso che ruba l'immagine completa dell'identificazione personale e del PIN, ma questi sono attributi dei fattori, non del sistema.