Quanto è sicura questa autenticazione a due fattori?

Quindi due fattori sono quando ti autentichi con due informazioni:

• Qualcosa che conosci, frase segreta per esempio
• Qualcosa che hai, chiave yubi, token RSA o un autenticatore google

In questo modo se un utente malintenzionato ne ha uno, che nella maggior parte dei casi sarà una passphrase, non verrà autenticato senza il pezzo che hai. Il tuo pin funzionerà solo se è un OTP (One-time-password), altrimenti hai appena aggiunto una seconda password al tuo processo di login che solo slow un utente malintenzionato non impedirà loro di violare il tuo sito data la prima passphrase.

Questo non è 2fa .

L'autenticazione a due fattori consiste in due diversi metodi di autenticazione separati che vengono messi insieme in modo tale che se uno viene compromesso l'altro continua a esistere.

Stai combinando un pin con una password, due cose praticamente uguali.

Tipico 2fa consiste in un dispositivo fisico che memorizza i segreti e dimostra che li conosce. Questa potrebbe essere Autenticazione Google, ecc., Che dimostra che condivide il segreto corretto con il server generando codici corretti, oppure potrebbe essere un yubikey crittografare qualcosa simile al server, per proteggere dal phishing.

Non è affatto sicuro. Il codice a 4 cifre può essere forzato brutalmente molto facilmente. Nel caso in cui si desideri renderlo più sicuro, è necessario utilizzare altre misure di sicurezza come i token di autenticazione (ad esempio Google Authenticator). Ma tutto dipende dal tuo ambito di applicazione, dal budget e dalla quantità di dati sensibili che stai memorizzando sulla tua app.

Se non vuoi utilizzare altre contromisure, dovresti tenere l'app al sicuro dagli attacchi bruteforce (ad esempio, bloccare l'account dopo accessi non riusciti, password sicure forzate, ecc.)

Come qualsiasi cosa suscettibile alla forza bruta, puoi istituire uno schema di limitazione sufficiente a rendere la forza bruta non plausibile.

In particolare con i codici 2FA, un utente che fornisce un nome utente e una password corretti ma non riesce a 2FA molte volte indica un account compromesso e potrebbe essere degno di avere quell'account contrassegnato per una revisione e un ripristino successivi.

In primo luogo, però, il codice 2FA dovrebbe essere progettato per cambiare costantemente e non solo per essere una seconda password. Gli schemi comuni sono la password monouso basata sul tempo (TOTP) derivata crittograficamente da una chiave segreta e l'ora corrente, oppure un nonce ruotato / rigenerato per ogni tentativo di autenticazione e consegnato tramite un secondo canale (ad esempio SMS, e-mail). Ciascuno schema rende gli attacchi di forza bruta non plausibili.

L'idea alla base dell'autenticazione a due fattori è che se un fattore viene compromesso, il secondo impedisce l'accesso non autorizzato. Ad esempio, considera l'autenticazione con fattore 2 di Google. Se si effettua l'accesso da un indirizzo IP insolito, viene inviato un codice di accesso unico al telefono. Quindi, se le tue credenziali sono state compromesse tramite, diciamo, un attacco di phishing, sei comunque protetto a meno che l'utente malintenzionato non abbia il tuo telefono, il che non è probabile.

Nel tuo caso, un attacco di phishing potrebbe richiedere non solo le credenziali, ma anche il pin e gli utenti ignari potrebbero cedere entrambi. E come hai detto, a seconda della tua politica di accesso, l'autore dell'attacco potrebbe forzare il tuo pin. Così, mentre aggiunge un altro passo, non eleva la sicurezza tanto quanto una vera e propria autenticazione con il secondo fattore OTP.