Comencé a hacer esta pregunta para obtener información antes de descubrir la. A la luz del juicio recomendado por un juez de primera instancia sobre PATCO v. People's United (lo que implica una teoría horrible con respecto a la autenticación multifactorial), defino algo que tienes como esto:
Lo que tienes solo debe ser comprometido por un atacante que tenga acceso físico a lo que tienes. Esto excluye:
- Una contraseña escrita en un pedazo de papel (una vez que alguien la ve, la conoce)
- Una cookie almacenada en su computadora
- "Preguntas de seguridad" (son solo otra contraseña)
- Su clave PGP se guarda en una unidad de disco USB si la conecta a una máquina que tiene acceso a la red
Dicho esto, consideraría que una lista en papel de 100 contraseñas que no tienen ninguna relación y que se usen solo una vez se consideraría algo que usted tiene. Una lista de papel de 100 contraseñas que se podrían solicitar más de una vez no calificaría como un atacante que podría pretender tener acceso a esa credencial al monitorear.
Algo que tengas debe ser algo cuya integridad puede ser asegurada por el control físico. Los ataques al otro lado del canal, como robar su base de datos de autenticación o romper un protocolo criptográfico no cuentan. Si puede ser comprometido sin la interferencia física de un atacante (o romper un algoritmo de cifrado, ya que son parte integral para demostrar la posesión de forma remota), no es algo que tenga. Las tarjetas de cajeros automáticos están un poco borrosas de esa manera: un cajero automático comprometido podría proporcionar todos los datos de seguimiento, aunque lo que generalmente vemos son skimmers (acceso físico). Los tokens RSA son otra cosa que consideraría algo que tienes.
Me gustan más las tarjetas inteligentes porque colocarlas en un lector no expondrá sus secretos, ni comprometerá la base de datos de autenticación.