Token di sicurezza fisica sincrona e asincrona: che è più strong? vantaggi svantaggi?

Question

Token di sicurezza fisica sincrona e asincrona: che è più strong? vantaggi svantaggi?

#1 da (2 voti)
#2 da (1 voti)

2

Sto pensando alle differenze tra i token di autenticazione fisici come i token fisici sincroni di RSA o le sfide / risposte asincrone, come i codici Gmail diretti da telefono di Google.

Al più alto livello di astrazione, ci sono ragioni per cui un token sincrono sarà migliore di un token asincrono e / o viceversa?

_{(Il potenziale per introdurre falle di sicurezza dipendenti dall'implementazione può essere un congo specifico da considerare a questo alto livello di astrazione: forse i sistemi sincroni sono più difficili da implementare su quelli asincroni.Ad esempio, i token RSA devono essere fisicamente sicuro per proteggere il seme in contrapposizione a un telefono, che non deve necessariamente essere fino a quando non arriva la risposta e solo quando la risposta è ancora potenzialmente utile.)}

authentication multi-factor hsm

posta logicalscope 09.01.2012 - 06:40

fonte

2 risposte

1

Sia l'autenticazione a password singola sia quella a seconda del canale possono essere pensate come sincrone. I generatori di password monouso come i token devono utilizzare una chiave per l'hash di un contatore o di un timestamp, che devono essere tutti conosciuti dal server. Le richieste di verifica del secondo canale richiedono semplicemente all'utente di verificare la ricezione di una password monouso dal server tramite il canale, ad esempio l'immissione di un codice da un messaggio SMS o una telefonata. In entrambi i casi, il server e il client devono entrambi conoscere un segreto condiviso.

Uno svantaggio dei token è che le chiavi di hash devono essere condivise sia dal server che dal token; se le chiavi vengono rubate dal server, il token deve essere sostituito. I secondi canali non hanno questa vulnerabilità, dal momento che i codici inseriti non devono essere generati in anticipo, ma possono essere intercettati.

Un dispositivo più intelligente di un token può utilizzare la crittografia asimmetrica. Il server invia una sfida una tantum al dispositivo, il dispositivo lo firma con la chiave privata e lo invia indietro, e il server lo verifica con la chiave pubblica. Poiché il server non ha la chiave privata, non possono essere rubati dal server per generare risposte senza il dispositivo.

Sono un ingegnere della sicurezza di Duo; questo articolo di Jon Oberheide ha più informazioni e descrive come lo usiamo.

risposta data 13.01.2012 - 21:23

fonte

Leggi altre domande sui tag authentication multi-factor hsm

Come si rimuove il malware Security Sphere? Come eseguire il reverse engineering di w32 / malware! gemini?

score 2 · Accepted Answer

Il vantaggio di un sistema di sfida / risposta è la capacità di impedire attacchi di riproduzione. Un server challenge / response invia all'utente una sfida che viene utilizzata nel processo di autenticazione insieme alle credenziali di autenticazione. I dati che vengono inviati durante l'autenticazione non saranno mai gli stessi sebbene le credenziali di autenticazione siano nella maggior parte dei casi uguali.

La tua differenziazione è in qualche modo inaccurata, perché anche il sistema RSA è un sistema di sfida / risposta. La sfida è il timestamp che il client e il server stanno condividendo. In questo modo viene creata la "quasi" password-one-time.

La differenza fondamentale tra i due sistemi che stai cercando di confrontare non è la debolezza crittografica. La differenza principale è che la soluzione Google invia il token di autenticazione tramite un canale non sicuro. Quindi, il token RSA è più sicuro, purché sia garantita la sicurezza della propria azienda. La soluzione RSA non invia nulla di necessario per l'autenticazione su qualsiasi canale. Questo è il vantaggio.