Llamada de dos factores a través de SMS (TXT)

Question

Llamada de dos factores a través de SMS (TXT)

#1 de gowenfawr (1 votos)
#2 de Jon Bentley (1 votos)

2

Me parece que una alternativa útil o un complemento a la función tradicional de detonación de puertos, fwknop, etc., para un sistema que requiera solo un acceso ocasional, sería:

Configura un teclado de una sola vez y una clave precompartida.
Almacene una copia de esa almohadilla y esa clave precompartida en el servidor a proteger, y mantenga una copia de cada una a mano.
Mantenga todas las copias de esas claves tan privadas como sea posible (esto debería ser evidente).
Haga arreglos para que el servidor pueda recibir mensajes SMS (texto) de una lista blanca de números de teléfono, descartando todos los demás.
Los SMS entrantes con límite de velocidad de cada número incluido en la lista blanca agregando un retraso progresivamente mayor antes del procesamiento.
Haga que el servidor procese los SMS en consecuencia:
- Si descifrar el contenido del SMS con la clave actual del teclado de un solo uso, se obtiene un mensaje en un formato específico, que contiene un número de puerto, un protocolo y la clave precompartida, entonces:
  - Eliminar la clave actual del teclado de una sola vez, y hacer que la siguiente clave sea la clave actual.
  - Enviar un SMS de respuesta, "OK"; y
  - Permitir que se realice una nueva conexión de entrada al servidor en ese puerto bajo ese protocolo hasta que se haya realizado una conexión de este tipo o haya transcurrido un tiempo de espera preconfigurado (por ejemplo, 5 minutos).
- de lo contrario:
  - No hagas nada.

Tengo dos preguntas:

¿Existe todavía un sistema de este tipo, preferiblemente en forma FOSS?
Además de, quizás, la no idoneidad para los casos de uso que requieren grandes cantidades de conexiones entrantes, ¿cuáles son las fallas en tal sistema?

firewalls encryption multi-factor port-knocking

pregunta sampablokuper 29.11.2013 - 03:03

fuente

2 respuestas

1

Aquí hay algunos defectos que se me ocurren:

Spoofing de SMS es trivial (por ejemplo, en el trabajo utilizo un servicio de envío de SMS en línea que me permite configurar cualquier secuencia alfanumérica arbitraria como el número de envío), lo que significa que la única seguridad que proporciona el paso de la lista blanca es que el atacante debe saber qué números se encuentran en la lista blanca. En un escenario típico, tal información probablemente esté fácilmente disponible (la mayoría de las personas / corporaciones no mantienen sus números de teléfono en secreto).
No es difícil interceptar las comunicaciones hacia y desde una tarjeta SIM, es decir, todo lo que se envía a / desde su teléfono y el servidor se pueden leer y modificar.
Las almohadillas de una vez son susceptibles a los ataques del hombre en el medio. Por ejemplo, digamos que sé de antemano qué número de puerto y protocolo abrirá (por ejemplo, observando sus solicitudes anteriores). La próxima vez que envíe la misma solicitud, puedo interceptarla y reemplazarla con un número de puerto y un protocolo de mi elección, sin ningún conocimiento de su única tecla de teclado .
Usando el punto (1) anterior, puedo lanzar un ataque efectivo de denegación de servicio falsificando mensajes SMS de todos los números incluidos en la lista blanca, para forzar la limitación de la velocidad.
Alternativamente, puedo lograr la denegación de servicio al bloquear la señal del dispositivo GSM (ya sea su teléfono o el receptor GSM del servidor).

Estos son solo defectos que aparecieron directamente en mi cabeza cuando leí tu descripción. Podría haber otros.

respondido por el Jon Bentley 21.04.2015 - 02:26

fuente

Lea otras preguntas en las etiquetas firewalls encryption multi-factor port-knocking

Distribución de conformidad PCI ¿Cómo limita la API de javascript a un dominio?

score 1 · Accepted Answer

No tengo conocimiento de nada exactamente como lo que estás buscando. Algunos fallos cercanos:

SMSterm proporciona un terminal a través de SMS, pero con "autenticación mínima". Gratis, pero parece comatoso (última actualización 2002, sin página de inicio)
Ales-U proporciona comandos sobre SMTP con algunos murmullos sobre el "método seguro". No es gratis, y balancear un gran palo de patente, no es el comportamiento de apareamiento más atractivo.

Tampoco he jugado con BTW, eso es solo un poco de Google y similares.

Le sugeriré los siguientes pensamientos con respecto a su pregunta # 2:

Piensa en SMTP . Es probable que cualquier solución de espacio SMS que vaya a los servidores implique una puerta de enlace de SMS a SMTP, y una solución diseñada para SMTP probablemente también funcione para usted.

El tamaño importa . Los mensajes SMS son cortos, por lo que si está firmando o cifrando sus comandos, tomará varios mensajes para llegar al servidor. El servidor necesitará reconstruir todo el mensaje. Esto es una desventaja.

Nadando contra la corriente . La mayoría de los mensajes relacionados con la seguridad de SMS van de servidor a cliente, no de cliente a servidor. En esencia, eso se debe a que es más difícil para alguien interceptar los mensajes enviados a su teléfono que para falsificar mensajes desde su teléfono. Por lo tanto, el cifrado basado en clave que sugiere es necesario, pero vea mi punto anterior sobre los problemas que causa. Y encontrarás menos soluciones porque todos los demás nadan hacia otro lado.

La detonación de puertos es rara . Si está buscando una solución que haga detonación de puertos , está pescando para una especie bastante rara. Si busca una solución que permita comandos remotos autenticados, podría tener más suerte.

Menos charla es mejor . Una de las ventajas de su esquema es que no requiere de ida y vuelta, es una solicitud unidireccional que luego se sigue con una conexión de ancho de banda más amplia.

La autenticación es la clave . Una vez que tenga una forma de enviar comandos autenticados a un servidor y de validarlos y ponerlos en práctica, la pregunta de qué transporte utiliza se convierte en un complemento. Resuelva ese problema primero, y luego puede agregarlo al transporte (SMS, SMTP, HTTP POST, ICMP ping, Avian carrier) que desee.

Las claves públicas son mejores . Si vas a tratar de enviar mensajes autenticados, no lo hagas con "un teclado de teclas de una sola vez y una clave precompartida". Solo usa certificados para cifrar y autenticar. Las almohadillas de una sola vez son excelentes, excepto cuando no son prácticas, lo que suele ser habitual.

HTH!