Quale tipo di autenticazione non è soggetta a attacchi man-in-the-middle?

0

Mi sto preparando per l'esame CISA e mi sono imbattuto in materiale che diceva che "l'autenticazione basata sulla risposta alle sfide è soggetta al dirottamento di sessione o agli attacchi man-in-the-middle". Ma il materiale non menziona quale tipo di autenticazione è strong contro gli attacchi MiTM.

Secondo la mia comprensione, la dichiarazione di cui sopra non è molto significativa perché tutti i tipi di autenticazione sono inclini a MiTM.

Per prevenire MiTM, possiamo applicare più fattori singoli per l'autenticazione. Ad esempio, oltre all'accesso dal browser, l'utente potrebbe anche dover premere il pulsante di conferma sull'app mobile entro un minuto per completare l'autenticazione. Tuttavia, esiste un unico metodo di autenticazione non soggetto a MiTM. Sono corretto?

    
posta Mark L 23.11.2018 - 10:41
fonte

1 risposta

1

Le autenticazioni basate sui metodi scambio chiave sono immuni agli attacchi MitM di progettazione. Richiedono comunque una sorta di infrastruttura di certificazione. (nota che lo scambio di chiavi di per sé non fornisce l'autenticazione)

Le autenticazioni basate su segreti condivisi, crittografia a chiave pubblica o certificati possono anche essere progettate per essere immuni agli attacchi MitM. Tali autenticazioni possono includere meccanismi di risposta alle sfide.

L'autenticazione a due (o più fattori) non è immune agli attacchi MitM, tuttavia Eva deve essere in grado di intercettare simultaneamente tutti i canali utilizzati, il che aumenta notevolmente la difficoltà per lei.

L'idea di base di fare l'autenticazione che è sicura da MitM è di fare in sequenza:

  1. stabilire un canale sicuro (ovvero protetto da MitM)
  2. stabilisce l'identità dell'altra parte
  3. scambia le informazioni di autenticazione

Ecco come viene impostato il tuo banking online. Scambio chiave DH + crittografia idonea per il passaggio 1. Certificati basati su una CA radice affidabile per il passaggio 2, autenticazione standard in formato Web per il passaggio 3.

Notare che gli elenchi TAN (segreti condivisi), i generatori TAN pseudo-casuali (segreti condivisi) o TAN SMS (2FA) vengono spesso utilizzati in aggiunta, ma in genere dopo l'autenticazione effettiva.

    
risposta data 23.11.2018 - 12:23
fonte

Leggi altre domande sui tag