Autenticación multifactorial vs. multifactor

3

En la universidad me dijeron que existe una diferencia entre los términos Factor único único y Factor múltiple:

El autenticador múltiple de factores únicos se presenta a un verificador. Cada uno de ellos deberá ser un único autenticador (y, por lo tanto, contener un secreto).

Autentificador multifactorial se usa para proteger un solo secreto, que se presentará al verificador durante un protocolo de autenticación. Los factores adicionales se utilizan para proteger el autenticador (secreto) y no necesitan ser ellos mismos autenticadores.

Tengo problemas para comprender las diferencias y las consecuencias de seguridad.

¿Entiendo correctamente que, según la definición anterior, el proceso típico de inicio de sesión de banca electrónica mediante el uso de una contraseña (secreto compartido 1) y un token criptográfico de hardware (token RSA) (secreto compartido 2) sería una autenticación de factor único múltiple . Por otro lado, bajo la autenticación de múltiples factores, solo puedo imaginar un token de hardware que necesita una huella digital y un pin para generar una contraseña de un solo uso. ¿Es eso correcto?

Pregunta : ¿Qué es más seguro y por qué? ¿El hecho de que múltiples factores individuales utilicen múltiples secretos compartidos es mejor o peor que proteger un solo secreto compartido con múltiples factores?

    
pregunta netik 18.10.2016 - 10:37
fuente

3 respuestas

4

Esta definición que comparte para la autenticación multifactor no cumple con la definición de la industria comúnmente aceptada. Multi-factor solo significa que dos o más factores, típicamente de diferentes categorías de autenticadores, se utilizan para autenticar. No es específico con respecto a si estos factores desbloquean el acceso a un "secreto" local que se usa para una autenticación adicional o se envía directamente al servidor de autenticación.

Cualquiera de los dos escenarios aún involucra autenticación multifactor. Lo que estos factores desbloquean en cuanto a secretos, tokens de sesión o similares no debería afectar su nombre.

No puedo decir que haya escuchado el término "autenticador de un solo factor múltiple" antes. Interpretaría que esto significa que tienes un sistema que usa dos factores de la misma categoría, por ejemplo, una contraseña y un PIN.

La autenticación multifactor suele ser más segura que un factor único porque debería ser más difícil para un atacante comprometer múltiples factores. Es posible que puedan adivinar su contraseña, pero es más difícil adivinarla y obtener un código de token de OTP válido.

    
respondido por el PwdRsch 18.10.2016 - 16:59
fuente
0

A partir de su descripción anterior, parece que lo que su profesor llama un autenticador multifactor sería un sistema como un chip y un terminal PIN para tarjetas de crédito, donde el usuario primero debe insertar su chip. , luego ingrese su PIN. El terminal del cliente pasa el PIN a la tarjeta, que luego utiliza el PIN junto con una clave secreta almacenada dentro del chip para producir un solo mensaje criptográfico para ser entregado a la computadora host del banco. El anfitrión del banco verifica de forma criptográfica que se utilizó el PIN correcto con el chip, y así autentican la transacción que autoriza la transferencia de su dinero a la tienda.

Un autenticador de un solo factor sería un sistema donde se le presentarán dos pantallas: ingrese su PIN, luego ingrese el valor del token que lleva en su bolsillo. O ingrese su PIN y presione el pulgar en el lector. Los dos factores no están relacionados en el extremo del cliente de la transacción; ambos son verificados independientemente por el sistema host. El host no valida la transacción hasta que ambos autenticadores se verifican de forma independiente.

Lo que describe su descripción es que un chip en un "autenticador multifactor" El sistema de chip y PIN es capaz de realizar una autenticación de factor único allí mismo en el sitio, sin el beneficio del sistema host. Si ingresa un PIN incorrecto, el chip se negará a comunicarse. Ingresando tres PIN incorrectos y el chip bloqueará al usuario hasta que el banco restablezca la tarjeta. Así que todavía hay dos autenticaciones independientes, PIN a Chip (local) y Chip a banco (remoto). Pero solo uno (el robo del PIN) puede ser robado por un atacante.

La principal diferencia es que el Chip es un representante local del Banco. Es como tener un pequeño banquero en tu bolsillo. Su banco no confía en la terminal, no confía en usted, solo confía en su pequeño banquero. Por lo tanto, su comunicación con el Chip es la autenticación de un solo factor (el PIN). El chip utiliza tanto su PIN como su secreto interno para autenticarlo en un solo mensaje. En este sistema, el banco apenas tiene que confiar en la terminal. El terminal puede incluso verse comprometido: imagínese usando su tarjeta Chip en una tienda dirigida por un ladrón, donde su terminal malvado copia su PIN y su número de tarjeta. Pero saber su PIN y número de tarjeta no es suficiente para robar de su cuenta: el banco no autorizará el PIN ni el número de tarjeta, solo autorizará el mensaje y el número de tarjeta de su Chip. Y tu Chip solo hablará con el banco mientras esté en el lector. Saca el chip y vuelve a estar seguro.

El autenticador de un solo factor múltiple sería dos mensajes separados. La tienda de un ladrón podría robar su PIN y luego robar el número que ingresó que se mostró en su ficha. O podrían robar su PIN y hacer una copia de su huella digital. El atacante podría luego reproducir esos mensajes para autenticarse como si estuvieras en un host diferente. En este caso, toda la confianza existe en cualquier sistema que pueda interceptar ambos mensajes.

Ha habido otros sistemas comerciales que convirtieron múltiples autenticadores de factor único en autenticadores multifactor en hardware. Hace unos años, una empresa comercializó un dispositivo de lector de pulgar / teclado de PIN, donde el usuario ingresó un PIN y presionó el pulgar en una pantalla. Tenga en cuenta que si bien se puede copiar una huella digital y se puede copiar un PIN, el dispositivo combinó el PIN y un "hash" de la huella digital con un algoritmo criptográfico (basado en una clave secreta incluida en el lector) y envió un solo mensaje de autenticación al anfitrión Entonces, alguien que intercepte el mensaje no podrá recuperar ni el PIN ni la huella digital del mensaje. Sin embargo, un ladrón todavía podría presentar una huella digital falsa a un lector; y un lector podría ser una falsificación que roba la imagen completa de la huella digital y el PIN, pero estos son atributos de los factores, no del sistema.

    
respondido por el John Deters 18.10.2016 - 23:42
fuente
0

He leído tu pregunta varias veces y todavía me parece una palabra ensalada. He estado trabajando en banca por internet durante 20 años y todos esos términos me parecen mal.

Los términos son importantes porque el cumplimiento normativo (PCI-DSS y FDIC, lo más importante) son preocupaciones centrales. De la orientación de la FDIC :

  

Los métodos de autenticación que dependen de más de un factor son más difíciles de comprometer que los métodos de factor único. En consecuencia, los métodos de autenticación multifactorial correctamente diseñados e implementados son más confiables y más eficaces para disuadir el fraude. Por ejemplo, el uso de una ID / contraseña de inicio de sesión es la autenticación de un solo factor (es decir, algo que el usuario sabe); mientras que, una transacción ATM requiere autenticación multifactorial: algo que el usuario posee (es decir, la tarjeta) combinado con algo que el usuario sabe (es decir, PIN). Una metodología de autenticación multifactor también puede incluir "fuera de banda" 5    Controles para la mitigación de riesgos.

Como puede inferir de lo anterior, un sistema MFA generalmente se basará en dos o más categorías de las siguientes:

  • Algo que el usuario sabe (por ejemplo, una contraseña)
  • Algo que el usuario tiene (por ejemplo, un token)
  • Algo que el usuario es (por ejemplo, biométrico, como huella digital)

No estoy seguro de qué es un "verificador" en tu pregunta. Intuitivamente para mí, un verificador es un sistema que valida una solicitud de autenticación, pero le estoy pensando a su profesor que el verificador es el cliente o usuario.

No estoy seguro de lo que se entiende por "autenticador". El término puede referirse a un sistema que realiza autenticación (por ejemplo, un servidor de banca electrónica) o puede referirse a un generador de token basado en tiempo (hardware o software) que se proporciona a un usuario final (por ejemplo, un mando RSA o la aplicación de autenticación). por Blizzard para las personas que juegan a World of Warcraft o Overwatch).

En ningún caso es la intención de autenticación para proteger un secreto. El propósito de la autenticación es establecer la identidad de un agente (usuario o sistema) que desea utilizar un servicio.

A riesgo de confundirlo, supongo que su profesor está haciendo una distinción entre MFA que se presenta simultáneamente y MFA que se presenta en serie. Presentarlos en serie tiene la ventaja de proteger el segundo factor de MITM o los ataques de repetición, ya que puede ser diferente cada vez. Por ejemplo, si un banco le pide su contraseña, y luego y solo entonces le pide que responda una pregunta de desafío, un pirata informático podría interceptar la respuesta a ambos, solo para encontrar que cuando intenta usarlos, la pregunta de desafío ha cambiado. y la información que capturó no se puede utilizar.

    
respondido por el John Wu 18.10.2016 - 21:23
fuente

Lea otras preguntas en las etiquetas