Tengo dos métodos de autenticación independientes A y B con entropía a y b respectivamente. decir compromiso de A no proporciona ninguna información sobre B. ¿La entropía de la autenticación de dos factores de A y B es a + b?
Tengo dos métodos de autenticación independientes A y B con entropía a y b respectivamente. decir compromiso de A no proporciona ninguna información sobre B. ¿La entropía de la autenticación de dos factores de A y B es a + b?
Depende. Si adivina A correctamente pero obtiene B incorrecto, ¿le dice el sistema que A es correcto? Si es así, entonces es A + B y el número promedio de conjeturas que se toma es (A + B) / 2 . Si no ve cuál estaba equivocada, la entropía es A * B y el número promedio de conjeturas es A * B / 2 .
Para mostrar por qué, considere este ejemplo: A = 4, B = 2. Si probamos las opciones de forma secuencial y sabemos cuál es la correcta, sería así:
A=0, B=0 A ERR; B ERR
A=1, B=1 A ERR; B ERR
A=2, B=2 A ERR; B OK
A=3, B=2 A ERR; B OK
A=4, B=2 A OK; B OK
(5 attempts)
Si no sabemos cuál es la correcta, sería así:
A=0, B=0 ERR
A=1, B=0 ERR
A=2, B=0 ERR
A=3, B=0 ERR
A=4, B=0 ERR
A=5, B=0 ERR
A=6, B=0 ERR
A=7, B=0 ERR
A=8, B=0 ERR
A=9, B=0 ERR
A=0, B=1 ERR
A=1, B=1 ERR
A=2, B=1 ERR
A=3, B=1 ERR
A=4, B=1 ERR
A=5, B=1 ERR
A=6, B=1 ERR
A=7, B=1 ERR
A=8, B=1 ERR
A=9, B=1 ERR
A=0, B=2 ERR
A=1, B=2 ERR
A=2, B=2 ERR
A=3, B=2 ERR
A=4, B=2 OK
(24 attempts)
Medimos la entropía del sistema de autenticación en bits. Si la entropía de un sistema S es bits, esto significa que después de explorar 2 posibilidades, el sistema ciertamente está roto.
Supongamos que la entropía del método A es a = 30 bits y la entropía del método B es b = 40 bits. Supongamos también que el método de autenticación A va seguido del método B (el orden no importa). Si el sistema notifica al usuario que la falla se debe al método A o al método B, entonces la entropía del sistema es max (a, b) = max (30,40) = 40 bits. Esto se debe a que el atacante puede romper el método A primero, lo que requiere 2 ^ 30 intentos. Después de romper A, el atacante puede intentar romper B explorando 2 ^ 40 posibilidades (o viceversa). Desde 2 ^ 40 > > 2 ^ 30, la entropía de todo el sistema es 2 ^ 40.
Sin embargo, si el error de autenticación debido al método A o al método B no se notifica al atacante, la entropía total del sistema es a + b = 30 + 40 = 70 bits. Esto se debe a que para cada posibilidad del método A, el atacante debe probar todas las posibilidades del método B, es decir, 2 ^ 30 * 2 ^ 40 = 2 ^ 70 posibilidades.
Lea otras preguntas en las etiquetas passwords