Nel contesto di FIDO U2F, quando una nuova chiave effimera viene riutilizzata o memorizzata nella cache?

2

Sto leggendo questo articolo da Yubico su Secondo fattore universale e OpenID Connect e vedere la descrizione delle chiavi effimeri

Sono confuso su quando viene utilizzata una chiave temporanea e in quali condizioni vengono memorizzate nella cache.

Dal documento Yubico.

Pagina 7:

U2F does have a trust chain similar to the certificate authorities found in traditional PKI, but this is not tied directly to the key pairs issued by the U2F device. Instead, this trust chain is tied the device’s identifier certificates. These device certificates are used alongside the ephemeral keys to identify the device itself (or a batch of devices), allowing knowledgeable RPs to make informed decisions about which device manufacturers they are willing to accept.

Pagina 9

Why would such caching systems be widely used when they clearly subvert a fundamental aspect of the security components? A system that constantly prompts a user for the same PIN again and again is likely to be ignored or rejected by users annoyed at the constant prompting. The use of a credential cache is often considered a reasonable tradeoff. However, the U2F design avoids having to make this tradeoff decision in the first place by explicitly declaring that the ephemeral keys are used to identify the device alone.

    
posta random65537 18.02.2017 - 02:47
fonte

1 risposta

0

In primo luogo un rapido Cheat Sheet FIDO U2F qui (perché è facile perdersi ...) www.neowave.fr/pdfs/FIDO-U2F-CHEAT-SHEET.pdf

Per quanto riguarda la pagina 7:

Le identità memorizzate FIDO U2F si basano su chiavi pubbliche e private (crittografia asimmetrica), ciascun account del servizio Web rende il dispositivo FIDO U2F (può essere presto FIDO U2F USB Security Keys, FIDO U2F NFC Cards e FIDO U2F BLE) le sue coppie di chiavi. Non è come una soluzione smart card PKI standard in cui la maggior parte delle volte esiste un certificato di identità utente condiviso. Ma ... ognuno appena generato sul dispositivo F2O U2F, ogni chiave pubblica è firmata digitalmente da una "chiave privata di produzione" all'interno del dispositivo U2F FIDO prima di essere inviata al server. FIDO U2F fornisce una "chiave pubblica di produzione" all'interno di un "certificato di attestazione" allegato alla chiave pubblica e alla firma della chiave pubblica. Questo "certificato di attestazione" e la chiave pubblica di produzione associata possono essere uguali su più dispositivi di uno stesso lotto di produzione ("lotto di dispositivi") e le informazioni contenute in questo certificato sono firmate dalla "Chiave privata del produttore" ... e se si effettua prodotti certificati dalla FIDO Alliance, è possibile (non obbligatorio) registrare anche la "Chiave pubblica del produttore" sul servizio di metadati ufficiale qui: fidoalliance.org/mds/ dove le informazioni sono firmate dalla chiave privata Fido Alliance (qui il cert root : mds.fidoalliance.org/Root.cer)

Quindi ... come vedi, anche se le "chiavi utente" sono anonime e isolate / diverse (chiavi temporanee) per ogni server / servizio, c'è ancora un tipo di catena di Fiducia che puoi trovare e usare. (Nota: per molti motivi, la maggior parte dei servizi non sta verificando questa catena per ora)

Riguardo a Pagina 9:

Questa è una nota sui dispositivi PKI standard (smart card protetti da PIN) non su FIDO U2F. Poiché richiedere un PIN per ogni azione con la soluzione basata su PKI standard smart card può essere noioso, questa voce PIN viene talvolta "memorizzata nella cache" per semplificare le interazioni dell'utente e questo può rompere parte della sicurezza della soluzione. Questo è un modo per spiegare la scelta dell'esperienza utente FIDO U2F: utilizzando il nome e la password THEN FiDO U2F dispositivo come un secondo fattore sicuro (senza protezione PIN).

    
risposta data 20.02.2017 - 17:42
fonte

Leggi altre domande sui tag