Justificación del primer factor fuerte en el contexto de la autenticación multifactor, más allá de las contraseñas

Romper un factor de conocimiento tiene un costo teórico que podemos asegurar fácilmente más allá de la capacidad humana (una contraseña con 12 palabras de uso de dados nunca se liberará usando el hash de 256 bits ininterrumpido), si excluimos la vulnerabilidad humana y la vulnerabilidad de implementación (y el hecho de que nadie use un 12 palabras contraseña) esta es una seguridad perfecta y demostrable como es. (siempre y cuando no podamos leer la mente humana al menos)

La seguridad biológica no es una identificación teórica, ya que utiliza una parte natural de nuestra identidad que ahora podemos leer pero no reproducir. (Su impresión, ADN e iris no son tan importantes que todos pueden acceder a ellos). No puede determinar qué tan segura es su autenticación, puede decir que necesita un dispositivo realmente difícil de producir para engañar a su sistema, pero todavía tiene que admitir que este dispositivo puede ser creado. Esto es solo agregar una dificultad técnica para romper el proceso de autenticación, no una garantía de seguridad.

Bueno, creo que la mayor desventaja es que el tercer factor es muy costoso (escáneres de iris, buen reconocimiento facial) y tiene algunos desventajas . Un ejemplo es un usuario que utiliza su huella dactilar para iniciar sesión, pero se cortó solo, el sistema no reconoce su impresión y se niega a acceder. Esta es la razón por la que aún puede iniciar sesión con un código PIN en los iPhones más nuevos.

Parte del problema con (el estado actual de) la biometría radica en la suposición de que todos tenemos dos ojos, o tienen pulgares, o algo así.

Esto no es una objeción frívola. Una vez trabajé en un proyecto utilizando la identificación de huellas dactilares para la administración de medicamentos en el África subsahariana. Terminamos necesitando implementar una contraseña alternativa debido a la cantidad de personas que no tenían suficientes huellas dactilares legibles, en gran parte debido a la falta de manos / dedos, para que el sistema las identifique.

¿Puede un escáner de iris identificar a alguien con ojos quemados / perdidos / de reemplazo? Probablemente no sea relevante para usted, ni para nadie que lea esta pregunta, pero los diseñadores de sistemas deben pensar en estas cosas al asumir el 100% de disponibilidad de un biométrico dado.

Aunque generalmente son débiles por la restricción de las capacidades mentales humanas, los autenticadores basados en el conocimiento tienen una propiedad única que los otros dos no tienen. Es decir, sin comprometer tecnológicamente al cliente o sistema de servidor objetivo (en cuyo punto la autenticación de n-factor se vuelve bastante discutible de todos modos), se requiere un esfuerzo consciente en nombre del propietario para que se revele un factor de conocimiento a un atacante.

Cualquier persona que tenga a su alcance puede obtener físicamente sus llaves, credencial de identificación u otros tokens de acceso físico. Esto puede requerir una cantidad moderada de esfuerzo por parte del atacante, especialmente para hacerlo de forma encubierta. Pero, en el gran esquema de las cosas, obtener la posesión física de la mayoría de los objetos que son útiles y convenientes como tokens de acceso es un asunto bastante trivial.

Los datos biométricos son aún más triviales. Con la tecnología actual, los dispositivos de autenticación biométrica más convenientes y asequibles son todavía bastante fáciles de engañar. Y está extendiendo constantemente sus autenticadores por todas partes en cada superficie que toca y en cada fotografía tomada de usted.

"Algo que sabes", por otro lado, sigue siendo exclusivamente tuyo hasta el momento en que elijas personalmente revelarlo a una persona o dispositivo. Si está almacenando correctamente un autenticador basado en el conocimiento (es decir, solo en su cabeza), es casi imposible que alguien lo robe contra su voluntad.

Nadie puede simplemente arrebatar el conocimiento de su bolso o levantarlo de un tirador. No lo encontrarán peinando las fotos de Facebook o revolviendo la billetera cuando no estés mirando. Tu mente es solo tuya, y toma medidas muy extremas, especialmente en comparación con estas, para que cualquiera pueda sacar algo de ella que no quieras que haga.

XCKD relevante:

Jugandounpocomás:

  

2:¡Oh,espera,necesitamossutarjetainteligente!
  1:Loencontréensubolsadeportátil.
  2:¿Ylahuelladigital?  1:Probablementequieralevantarloanteslerompelosdedos.
  2:Estábien,peronocreoquesevayaaromper.
  1:Todosserompen.
  2:Dicequesunombrees"Jack Bauer".
  1: ¡Explosión! ¡Nuestro malvado plan está frustrado!