Autenticación de dos factores con PIN: ¿dónde y cómo se ingresa un PIN?

Question

Autenticación de dos factores con PIN: ¿dónde y cómo se ingresa un PIN?

#1 de cornelinux (5 votos)
#2 de Mike Ounsworth (2 votos)

3

Digamos que tengo dos sitios web con mecanismos 2FA que son idénticos.

Mecanismo 1

Debe ingresar un PIN en su Generador de token para poder recuperar su contraseña de One Time. En el sitio web, usted usa su contraseña y la OTP sola para iniciar sesión.

Mecanismo 2

Por otro lado, se puede acceder a la OTP simplemente teniendo físicamente el dispositivo. En el sitio web, ingrese su contraseña y luego [PIN] + OTP.

Me pregunté si habría una diferencia demostrable en la seguridad proporcionada por estos dos métodos. ¿Son iguales y es puramente una elección de diseño, o hay otras consideraciones que hacer?

Por ejemplo, me queda claro que en el Mecanismo 2 es al menos posible que el PIN sea interceptado electrónicamente. Después de lo cual, un atacante solo necesitaría acceso temporal a su Generador de token para iniciar sesión. Pero entonces, si el atacante es físicamente local, probablemente podrían obtener su PIN de alguna otra manera (CCTV, navegación por los hombros, etc.)

multi-factor hardware-token

pregunta Dan 11.08.2017 - 10:21

fuente

2 respuestas

Lea otras preguntas en las etiquetas multi-factor hardware-token

¿Es peligroso para un estafador saber su nombre y fecha de nacimiento? [cerrado] P: Necesita ayuda para entender el sitio pirateado que solo afecta a los usuarios de AT&T LTE

score 5 · Answer 1

En el proceso de autenticación, el usuario ingresa una contraseña (algo que él sabe) y un valor OTP , que se generó por "algo que posee": el generador de token.

Creo que puedes cambiar el primer componente "algo que je je" de esta manera, es decir, proporciona el mismo nivel de seguridad en el mecanismo 1 y el mecanismo 2.

En mi opinión, es importante echar un vistazo a la posesión, "algo que él posee". Entonces la pregunta es, ¿qué tipo de generador de OTP está utilizando aquí? ¿Cuáles son los vectores de ataque para este generador de tokens?

Si tiene un generador de token de hardware, un atacante necesita acceso realmente físico al dispositivo. (Supongamos que la clave secreta no se vio comprometida durante la entrega del hardware).

Por otro lado, si está utilizando un generador de software OTP como una aplicación de teléfono inteligente, la posesión podría ser propenso a vectores de ataque adicionales . Es decir. Imagine el almacenamiento del smartphone de los usuarios que está siendo copiado por un programa fraudulento de atacantes. Entonces podría ser una buena idea usar el mecanismo 1 y usar el PIN del teléfono inteligente local para cifrar el secreto en el almacenamiento del teléfono inteligente. Esto protegería contra ataques remotos en el almacenamiento del teléfono inteligente: ataques remotos en hardware físico o "no es posible".

En mi opinión, si tiene un factor de posesión real , uno que no sea atacable en línea, no necesita un PIN local.

Y: al iniciar sesión en el sitio web no necesita Contraseña + PIN + OTP . Dos "conocimientos" son tan buenos como un conocimiento. Así que simplemente use Contraseña + OTP .

score 2 · Answer 2

Básicamente daré la misma respuesta que @cornelinux, pero desde un ángulo diferente.

Modelo de amenaza

Cuando esté comparando dos opciones de seguridad entre sí, primero debe considerar los modelos de amenaza contra los que están protegiendo. Solo cuando están protegiendo lo mismo puedes comparar manzanas con manzanas.

PIN en el servidor: aquí, el PIN que actué como una segunda contraseña. (¿Realmente ganas algo con una segunda contraseña?)

PIN en el dispositivo: aquí está protegiendo la OTP de un atacante que tiene acceso físico al dispositivo. Esencialmente, esto actúa como una segunda pantalla de bloqueo del dispositivo, pero una que los usuarios no pueden elegir deshabilitar por conveniencia.