Perchè siti popolari come Google, Dropbox, ecc. hanno una casella di controllo "Fidati di questo computer" quando indebolisce la sicurezza?

Question

Perchè siti popolari come Google, Dropbox, ecc. hanno una casella di controllo "Fidati di questo computer" quando indebolisce la sicurezza?

#1 da (1 voti)
#2 da (1 voti)

2

Supponiamo che qualcuno stia registrando su Dropbox nella libreria, ma sul computer è presente un keylogger che ruba la password. Fortunatamente, stanno usando l'autenticazione a due fattori, che avrebbe potuto prevenirlo ... quasi. Ma c'è una casella di controllo "fidati di questo computer". L'utente non lo controlla, ma il keylogger può controllarlo silenziosamente, dando loro un token che dà accesso permanente al proprio account.

Anche se questo non è lo scopo principale dell'autenticazione a due fattori, la sua utilità non migliorerebbe notevolmente senza questa casella? Esistono altri modi per consentire all'utente di fidarsi del computer sul quale si trovano, ad esempio la duplicazione di due codici, uno per l'accesso temporaneo e l'altro per il permanente. In questo modo la decisione di consentire l'accesso permanente sarà interamente a carico dell'utente e il keylogger non sarebbe in grado di interferire con esso.

web-browser trust multi-factor

posta Gelatin 13.08.2015 - 20:00

fonte

2 risposte

Leggi altre domande sui tag web-browser trust multi-factor

Quali sono queste connessioni in entrata nei miei log del router wireless? Crittografia dei dati prima di inviarli allo strumento SaaS e decrittografia sulla vista del browser

score 1 · Answer 1

Esistono diversi tipi di autenticazione a due fattori. Alcuni tipi proteggeranno dalla minaccia che descrivi, altri no.

Ecco alcuni tipi comuni di 2FA che ti terranno protetto dal keylogger:

SMS di un codice monouso su un telefono cellulare.
Invio per e-mail di un codice monouso con l'assunto che l'utente non verificherà l'e-mail sul computer compromesso. (Riceve l'e-mail su un telefono cellulare.)
Una sorta di token che utilizza un'app mobile basata sul tempo.

In genere, i tipi precedenti di 2FA non hanno un'opzione per "ricordare questo computer" che disabiliti la porzione 2FA del login. Se avessero l'opzione "ricorda questo computer", ciò ridurrebbe drasticamente la sicurezza, come suggerito.

Ci sono alcuni tipi più deboli di 2FA che possono contenere un'opzione "ricorda questo computer". In genere, si tratta di una domanda di sicurezza aggiuntiva, ad esempio qual è il tuo cibo preferito o il nome da nubile della madre, ecc. Se c'è una sola domanda di sicurezza, la tua risposta verrà registrata anche dal keylogger, quindi "ricorda" l'opzione "questo computer" è irrilevante. L'unica situazione in cui il keylogger con la possibilità di controllare in silenzio la casella "ricorda questo computer" sarebbe utile (per l'attaccante), è quando si hanno più domande di sicurezza che vengono presentate su base round robin, e solo 1 di essi viene catturato dal keylogger.

Come nota a margine, se sei preoccupato per i keylogger, ti suggerisco di digitare una password su un computer pubblico, di scriverne una parte con la tastiera e il resto con il mouse e il virtuale su tastiera a schermo. Ciò impedirà a qualcuno di guardare lo schermo o un keylogger. Qualcuno avrebbe bisogno di avere entrambi contemporaneamente allo stesso tempo per catturare la tua password completa.

score 1 · Answer 2

Penso di avere una migliore comprensione di ciò che stai chiedendo ora:

Avere "una fiducia in questo computer" non è in realtà una debolezza della sicurezza. Questa funzione è di dire alla società che si tratta di un computer comune dal quale si effettua l'accesso e più di comodità dell'utente.

Affinché il software dannoso esegua questo controllo al posto dell'utente, è necessario eseguire Session Hijacking. L'autenticazione a due fattori non impedisce questo. Session Hijacking riguarda il furto di chiavi di sessione e il loro utilizzo per impersonare un utente già connesso. A questo punto l'attaccante ha già accesso al tuo account, spuntando una casella o meno.

In uno scenario di registrazione delle chiavi, si sta tentando di cancellare l'accesso nelle informazioni, piuttosto che autenticarsi con esse in una data successiva. L'autenticazione a due fattori è utile qui. Poiché l'attaccante avrà ancora bisogno della tua chiave inviata.

Nel tuo scenario un Attaccante vorrebbe:

Devono eliminare le informazioni di accesso
Dirigi la sessione corrente.
Controlla la casella del computer attendibile.

Se l'utente malintenzionato voleva ottenere l'accesso al di fuori della sessione corrente, avrebbe bisogno di "accedere" dal PC che riteneva attendibile poiché il tentativo di accesso da un altro dispositivo avrebbe attivato l'autenticazione a due fattori.

La maggior parte dei scraper è progettata per inviare riaccreditamenti a un server controllato. Il tuo scenario non è impossibile ma improbabile per attacchi di utenti generici. A questo punto, stai guardando un attacco mirato poiché questo è specifico del dispositivo.