¿Por qué los sitios populares como Google, Dropbox, etc. tienen una casilla de verificación de "confiar en esta computadora" cuando debilita la seguridad?

Question

¿Por qué los sitios populares como Google, Dropbox, etc. tienen una casilla de verificación de "confiar en esta computadora" cuando debilita la seguridad?

#1 de TTT (1 votos)
#2 de Shane Andrie (1 votos)

2

Digamos que alguien está iniciando sesión en Dropbox en la biblioteca, pero la computadora tiene un registrador de teclas que le roba la contraseña. Afortunadamente, están usando autenticación de dos factores, lo que podría haber evitado esto ... casi. Pero hay una casilla de verificación "confiar en esta computadora". El usuario no lo comprueba, pero el keylogger puede verificarlo en silencio, dándoles un token que le da acceso permanente a su cuenta.

Incluso si este no es el propósito principal de la autenticación de dos factores, ¿no se mejoraría masivamente su utilidad sin esta casilla de verificación? Hay otras formas de permitir que el usuario confíe en la computadora en la que se encuentran, como enviarles dos códigos de texto, uno para el acceso temporal y otro para el permanente. De esa manera, la decisión de permitir el acceso permanente dependerá completamente del usuario y el keylogger no podrá interferir con él.

web-browser trust multi-factor

pregunta Gelatin 13.08.2015 - 20:00

fuente

2 respuestas

Lea otras preguntas en las etiquetas web-browser trust multi-factor

¿Las claves de cifrado derivadas de contraseñas deben incluirse con sal? Cifrar datos antes de enviarlos a la herramienta SaaS y descifrarlos en la vista del navegador

score 1 · Answer 1

Hay diferentes tipos de autenticación de dos factores. Algunos tipos protegerán contra la amenaza que usted describe, otros no.

Estos son algunos tipos comunes de 2FA que lo mantendrán protegido contra el registrador de claves:

Enviar un código de uso de un solo uso a un teléfono móvil.
Enviar por correo electrónico un código de uso único con el supuesto de que el usuario no revisará el correo electrónico en la computadora comprometida. (Recibe el correo electrónico en un teléfono móvil).
Algún tipo de token que usa una aplicación móvil basada en el tiempo.

Normalmente, los tipos anteriores de 2FA no tienen una opción para "recordar esta computadora" que deshabilitaría la parte 2FA del inicio de sesión. Si tuvieran una opción de "recordar este equipo", eso reduciría drásticamente la seguridad, como sugirió.

Hay algunos tipos más débiles de 2FA que pueden contener la opción "recordar esta computadora". Por lo general, serían una pregunta de seguridad adicional, como cuál es su comida favorita, el apellido de soltera de la madre, etc. Si solo hay una pregunta de seguridad, el registrador de claves también registrará su respuesta. La opción "esta computadora" es irrelevante. La única situación en la que el registrador de claves con la capacidad de marcar de forma silenciosa la casilla "recordar esta computadora" sería útil (para el atacante), es cuando tiene configuradas varias preguntas de seguridad que se presentan por turnos, y solo 1 de ellos es capturado por el registrador de claves.

Como nota al margen, si le preocupan los registradores clave, sugiero que cuando escriba una contraseña en una computadora pública, escriba parte del teclado con el teclado y el resto con el mouse y el virtual en -teclado de pantalla. Esto frustrará a alguien mirando la pantalla o un registrador de teclas. Alguien debería tener ambos a la vez para capturar su contraseña completa.

score 1 · Answer 2

Creo que tengo una mejor comprensión de lo que estás preguntando ahora:

Tener "una confianza en esta computadora" no es realmente una debilidad de seguridad. Esta función es para decirle a la compañía que esta es una computadora común desde la que inicias sesión y más para la comodidad del usuario.

Para que un software malintencionado realice esta comprobación en su lugar, deberían realizar el secuestro de sesión. La autenticación de dos factores no impide esto. El secuestro de sesiones consiste en robar claves de sesiones y usarlas para hacerse pasar por un usuario que ya ha iniciado sesión. En este punto, el atacante ya tiene acceso a su cuenta, marcando una casilla o no.

En un escenario de registro de claves, intenta descartar el inicio de sesión en la información, en lugar de autenticarlo en una fecha posterior. La autenticación de dos factores es útil aquí. Como el atacante seguirá necesitando tu clave enviada.

En tu situación, un atacante:

Tienes que desechar tu información de inicio de sesión.
Secuestre su sesión actual.
Marque la casilla de confianza de esta computadora.

Si el atacante quisiera obtener acceso fuera de la sesión actual, necesitaría "iniciar sesión" desde la PC en la que confiaba, ya que intentar iniciar sesión desde un dispositivo diferente activaría la autenticación de dos factores.

La mayoría de los raspadores están diseñados para enviar credenciales a un servidor controlado. Su escenario no es imposible pero es poco probable para los ataques de usuarios genéricos. En este punto, estás mirando un ataque dirigido ya que esto es específico del dispositivo.