Necessità di proteggere le password (o 1fa) nel contesto di 2fa

Question

Necessità di proteggere le password (o 1fa) nel contesto di 2fa

#1 da (8 voti)
#2 da (2 voti)

2

Sto cercando di ottenere una certa chiarezza su questo. Non sto guardando le prospettive personali o rischiose di mgmt.

Perché abbiamo bisogno di proteggere le password (o 1 ° fattore) nel contesto di 2fa (o autenticazione a più fattori) perché l'hacker non avrà un secondo fattore.

Un simile ma non esatto è banalizzare la prima password per dire abc123 e sostenere che l'hacker non avrà il secondo fattore?

Quali sono alcuni aspetti tecnici per non abbassare la guardia sulle password nel contesto di 2 / mfa?

authentication passwords

posta tech_geek 05.12.2015 - 09:10

fonte

2 risposte

Leggi altre domande sui tag authentication passwords

Utilizzo del DNS fornito dal servizio VPN vs OpenDNS Struttura del gateway di Symantec Messaging

score 8 · Answer 1

Hai frainteso il significato dell'autenticazione a due fattori. Se si rimuove un fattore (banalizzando), non si ha più l'autenticazione a due fattori, si ha l'autenticazione a un fattore (solo con una forma diversa di fattore - qualcosa che si ha / sono , anziché < em> qualcosa che conosci ).

Sottintendi che il vantaggio di 2FA sia la forza del secondo fattore. Se così fosse, allora non hai bisogno di 2FA - semplicemente implementa il secondo fattore da solo. No, il vantaggio di 2FA è la ridondanza di avere due fattori contemporaneamente.

Se un hacker rompe uno dei fattori, sei ancora protetto dall'altro. Per esempio. se il tuo dispositivo di sicurezza di internet banking viene rubato, sei al sicuro perché hai ancora una password. In alternativa, se qualcuno ti vede digitare la tua password, sei al sicuro perché hai ancora il tuo dispositivo. Hai ridotto il vettore di attacco in scenari in cui l'aggressore riesce a portare a termine entrambe le attività.

Se banalizzi uno dei fattori, potresti anche non preoccuparti dello schema in primo luogo.

score 2 · Answer 2

Non puoi essere sicuro che ci siano vulnerabilità nel tuo codice.

Le password non devono mai essere archiviate come testo normale.

Le persone tendono a utilizzare le stesse password su più siti o formati specifici come nome + compleanno o altro.

Devi proteggere le password per prevenire abusi se il database è stato violato.

E nessuno, ma solo il proprietario dell'account, dovrebbe conoscere la password, sempre.

Le password dovrebbero essere sempre archiviate in un formato hash. Si prega di non utilizzare MD5 o SHA-1. Bcrypt è altamente raccomandato.

I numeri di telefono per 2fa devono essere memorizzati (crittografati, possono essere decifrati nel codice sorgente) in un database separato su un server separato che ha una protezione di accesso aggiuntiva (nessun accesso consentito da IP remoti ma solo l'IP del server).

Un hacker avrebbe bisogno dell'accesso al dispositivo 2fa che non è così facile + la password (ma non può decrittografarla se archiviata usando bcrypt).