¿Qué tan segura es esta autenticación de dos factores?

Entonces, el factor dos es cuando se autentica con dos datos:

• Algo que sabes, frase de contraseña por ejemplo
• Algo que tienes, clave de yubi, token RSA o un autenticador de google

De esta manera, si un atacante tiene uno, que en la mayoría de los casos será una frase de contraseña, no se autenticará sin la pieza que tiene. Su PIN solo funcionará si es una OTP (contraseña de un solo uso); de lo contrario, acaba de agregar una segunda contraseña a su proceso de inicio de sesión que solo ralentizará un atacante no evitará que infrinja su sitio. dada la primera frase de contraseña.

Esto no es 2fa .

La autenticación de dos factores consiste en dos métodos de autenticación diferentes, diferentes, que se combinan de manera que si uno se ve comprometido, el otro sigue en pie.

Estás combinando un pin con una contraseña, dos cosas que son prácticamente iguales.

El 2fa típico consiste en un dispositivo físico que almacena secretos y demuestra que los conoce. Esto podría ser la autenticación de Google, etc., lo que demuestra que comparte el secreto correcto con el servidor mediante la generación de códigos correctos, o puede ser un yubikey cifrando algo similar al servidor, ayudando a proteger contra el phishing.

No es seguro en absoluto. El código de 4 dígitos puede ser forzado brutalmente muy fácilmente. En caso de que si desea hacerlo más seguro, tenga que usar otras medidas de seguridad, como tokens de autenticación (por ejemplo, Google Authenticator). Pero todo esto depende del alcance de su aplicación, el presupuesto y la cantidad de datos confidenciales que almacena en su aplicación.

Si no desea utilizar ninguna otra contramedida, debe mantener su aplicación a salvo de ataques de fuerza bruta (por ejemplo, bloquear la cuenta después de inicios de sesión fallidos, contraseñas seguras forzadas, etc.)

Como cualquier cosa susceptible a la fuerza bruta, puedes instituir un esquema de regulación suficiente para hacer que la fuerza bruta sea inverosímil.

Con los códigos 2FA específicamente, un usuario que proporciona un nombre de usuario y una contraseña correctos pero falla en 2FA muchas veces indica una cuenta comprometida y podría ser digno de tener esa cuenta marcada para su posterior revisión y recuperación.

Sin embargo, principalmente, el código 2FA debe diseñarse para cambiar constantemente y no solo como una segunda contraseña. Los esquemas comunes son contraseñas de una sola vez (TOTP) basadas en el tiempo derivadas criptográficamente de una clave secreta y la hora actual, o una rotación / regeneración de nonce para cada intento de autenticación y entregado a través de un segundo canal (por ejemplo, SMS, correo electrónico). Cualquiera de los dos esquemas hace que los ataques de fuerza bruta sean inverosímiles.

La idea fundamental detrás de la autenticación de dos factores es que si un factor se compromete, el segundo evita el acceso no autorizado. Por ejemplo, considere la autenticación factor Google 2. Si inicia sesión desde una dirección IP inusual, envía un código de acceso único a su teléfono. Por lo tanto, si sus credenciales se vieron comprometidas mediante, digamos, un ataque de suplantación de identidad (phishing), todavía estará protegido a menos que el atacante también tenga su teléfono, lo cual no es probable.

En su caso, un ataque de suplantación de identidad (phishing) podría solicitar no solo las credenciales, sino también el pin y los usuarios confiados podrían entregar ambas. Y como mencionó, dependiendo de su política de inicio de sesión, el atacante podría forzar su pin. Por lo tanto, aunque agrega otro paso, no eleva la seguridad tanto como lo haría una autenticación de 2º factor OTP adecuada.