¿Es la idea de inicio de sesión único (SSO) un concepto defectuoso sin autenticación de dos factores (2FA)?

3

Antes de que esto se marque como un duplicado, no estoy haciendo una pregunta sobre desventajas de inicio de sesión único , estoy preguntando si el concepto inicial es defectuoso para empezar sin aplicar la autenticación de dos factores.

Déjame explicarte a lo que me refiero:

1. El propósito de una contraseña es evitar que personas no autorizadas accedan a datos protegidos.

2. No utilizamos la misma contraseña para todas las cuentas porque eso potencialmente expone todas las cuentas cuando una es hackeada.

Ahora entra en Single Sing-On. Ahora millones de personas ponen todos sus huevos (contraseñas) en una canasta. Esto viola el número 2 porque si el proveedor de SSO es hackeado, todas las cuentas están potencialmente expuestas. Simplemente mire el hackeo más reciente (de varios) en LastPass en 2015 , y aún más hack reciente de OneLogin en 2017 , incluso teniendo la capacidad de descifrar datos.

Ahora, con la autenticación de dos factores , utilizando específicamente "algo que tienes" como segundo factor, lo más probable es que evites que seas el objetivo de un pirateo de un proveedor de SSO, a menos que también se roben los tokens. (pero las vulnerabilidades de 2FA son otra discusión).

Entonces, ¿cómo es SSO (sin 2FA) mucho mejor que simplemente usar la misma contraseña (larga) en todo, o tal vez mejor, 3 contraseñas, de modo que tiene 3 posibilidades de hacerlo bien (lo que no debe exceder los límites de prueba de contraseña) ) y usted divide cualquier contraseña comprendida en 1/3 de todas sus cuentas.

NOTA: no recomiendo el uso de la misma contraseña otra vez. Personalmente, tengo una contraseña única para cada uno de mis 100 inicios de sesión con un sistema que me permite recordarlos, pero quiero entretener los contrastes con el propósito de la conversación.

¿Existe realmente una gran diferencia entre usar SSO (sin 2FA) en lugar de usar 1 (o más) contraseña (siguiendo la Qué hacer y no hacer con la contraseña ) además de cambiar el trabajo de protección con contraseña de 100 compañías a solo 1?

Ahora puede argumentar que disminuye sus posibilidades de ser pirateado cambiando la responsabilidad de seguridad de 100 compañías a solo 1, pero luego le preguntaría si sería mejor tener 100 contraseñas únicas almacenadas en 100 compañías diferentes que tener 100 contraseñas en 1 empresa.

Todo esto solo para plantear el problema ...

  1. ¿Tiene sentido el inicio de sesión único (desde un punto de vista de seguridad) si no utilizamos la autenticación de dos factores?
  2. ¿Deberíamos aplicar la autenticación de dos factores cuando usamos el inicio de sesión único?
  3. Sin la autenticación de dos factores, ¿potencialmente estamos dando a las personas una falsa sensación de seguridad?

Por favor, avíseme si hay algo que no esté teniendo en cuenta.

    
pregunta Hawkeye 25.09.2017 - 21:15
fuente

1 respuesta

5
  1. Sí, el SSO con o sin 2FA tiene sentido desde una perspectiva de seguridad, pero no en la dirección que ha considerado. El SSO proporciona una forma de denegar el acceso instantáneo a las credenciales comprometidas en todos los sistemas que se suscriben. Entonces, si mi cuenta está comprometida en el sitio A, el proveedor de seguridad puede forzar un cambio de contraseña único que afectará a mi cuenta de SSO en todos los demás sitios protegidos. 2FA no afecta esto de una manera u otra.

Considere que SSO puede implementarse inicialmente sin 2FA, pero el proveedor de seguridad puede convertirlo para usar 2FA más adelante. Esto brindará beneficios de 2FA a cada sitio sin que esos cientos de sitios tengan que cambiar sus bases de código en absoluto. Ese es un argumento convincente, no solo a favor de 2FA, sino que es un beneficio de externalizar su seguridad a un servicio dedicado a manejar la autenticación de usuarios. Pueden realizar mejoras en la seguridad de sus clientes sin que tenga que gastar ningún recurso.

  1. Si 2FA es incluso una opción remota, sí, por supuesto que mejorará la seguridad al elegirla. La única razón para no elegirlo hoy sería la compatibilidad con el sistema heredado, y no debe dejar que eso le impida implementarlo en un nuevo sistema.

  2. 2FA no es una bala mágica. Es una gran mejora en la seguridad, pero no es invulnerable. La autenticación de un solo factor tampoco es un completo fracaso. Muchos sitios que no emplean 2FA no han tenido una infracción. :-) Todo lo que se dice, Account Take Overs está prácticamente cerrado por 2FA, por lo que puede ayudar activamente a sus usuarios a protegerse a sí mismos implementándolo.

Finalmente, regresando a tu historia anecdótica de "Personalmente tengo una contraseña única para cada uno de mis 100 inicios de sesión con un sistema que me permite recordarlos", esto tiene dos problemas importantes que no has reconocido. . Primero, está mucho mejor capacitado y mucho más capacitado que el 99% de los usuarios comunes: las habilidades y técnicas que puede pensar que son fáciles están más allá del alcance de prácticamente la mitad de la población del planeta. Esta solución no se puede escalar para beneficiar a todos los usuarios. SSO puede ser un compromiso que introduce riesgos adicionales ( y significativos ), pero es un compromiso que beneficiará a todo el espectro. del público.

A continuación, tenga en cuenta que si un actor de amenazas lo está atacando específicamente (diferente a alguien con redes de arrastre con contraseñas robadas de una infracción importante), y compromete su contraseña en tres sitios diferentes de bajo valor, puede adquirir suficientes puntos de datos para Reconocer el patrón subyacente de su algoritmo de generación de contraseña. Desde allí, puede intentar iniciar sesión siguiendo el mismo algoritmo para obtener contraseñas potenciales para usted en sitios de alto valor, como mybank.com, firstbank.com, lastbank.com, myretirementaccount.com, etc.

    
respondido por el John Deters 25.09.2017 - 21:51
fuente

Lea otras preguntas en las etiquetas