In che modo le banche determinano quando chiedere l'autenticazione a due fattori?

2

Stavo giocando con il tentativo di capire come la mia banca sa quando darmi un prompt di autenticazione a due fattori. Inizialmente avevo pensato che fosse basato sui miei cookies e forse sul mio indirizzo IP. Ma i risultati mi hanno sconcertato.

In modalità in incognito, la banca mi chiede un codice a due fattori ogni volta. Questo non mi ha sorpreso perché la modalità in incognito non ha alcun cookie, quindi mi aspetterei che mi suggerisse.

In modalità normale, sono entrato in "Cancella dati di navigazione" e ho cancellato tutti i cookie, i file memorizzati nella cache, i dati delle app, le password, la cronologia dei download. Ho eliminato TUTTO. Ho visitato il sito della banca, ho effettuato l'accesso e .... NON è stato richiesto il codice di due fattori.

L'ho ripetuto molte volte, con gli stessi risultati. La mia ipotesi è che stiano facendo un qualche tipo di fingerprinting avanzato del browser, qualcosa di più complicato dei cookie. Cosa pensate che stia succedendo?

    
posta satnam 26.07.2015 - 00:58
fonte

1 risposta

1

So che diverse banche utilizzano "dati di profilazione" dagli accessi precedenti per cercare di determinare l'identità dell'utente in base a:

  1. Credenziali (ovviamente)
  2. Domanda segreta (non tutte le banche usano comunque questo metodo)
  3. Indirizzo IP (posizione geografica + fuso orario) e provider internet
  4. I dispositivi utilizzati in precedenza per comunicare con la banca:

    a. Tipo di browser Web, i relativi cookie, plug-in e amp; componenti aggiuntivi

    b. Risoluzione dello schermo

    c. Dimensioni del browser

  5. Intervallo timestamp: entro quale intervallo generalmente accede un utente.

Ci sono più fattori rispetto all'elenco precedente, ma fondamentalmente è un motore di rischio che determina quando è necessario attivare o meno l'autenticazione a due fattori.

    
risposta data 26.07.2015 - 11:50
fonte

Leggi altre domande sui tag