Mitigar la pérdida de un teléfono móvil utilizado para el inicio de sesión de segundo factor

16

Tome el siguiente escenario: John está usando GMail para su cuenta de correo electrónico principal y LastPass como su sistema de administración de contraseñas. Ambas cuentas utilizan la aplicación móvil Google Authenticator como el segundo factor de autenticación para el inicio de sesión. John pierde su teléfono móvil y, como tal, no puede iniciar sesión en GMail ya que no conoce su contraseña. John tampoco puede iniciar sesión en LastPass ya que, si bien conoce la contraseña maestra, no tiene el segundo factor, ni tampoco puede desactivar el segundo porque no tiene acceso a su cuenta de correo electrónico. John ahora está bloqueado fuera de sus cuentas.

Las soluciones actuales que John pudo haber usado para detener la pérdida de acceso a la cuenta debido a la falta de su segundo dispositivo factor incluyen la configuración de mitigaciones como:

  • Códigos de respaldo / Código maestro
  • SMS / llamada telefónica
  • Correo electrónico alternativo

Sin embargo, la viabilidad de estas soluciones varía en muchos factores.

Si bien el escenario anterior es específico, en general pregunto qué se puede hacer para mitigar los efectos de la pérdida de un teléfono móvil utilizado como dispositivo de segundo factor.

    
pregunta Luke 25.04.2013 - 04:07
fuente

2 respuestas

10

Lo que puedo decir, en general, es que usted no debe tener un único punto de falla. Ya sea su teléfono móvil (se puede perder, dañar, robar), alguna otra computadora o dispositivo (se puede dañar), un pedazo de papel (se puede perder, dañar) o incluso su memoria (se pueden olvidar cosas, especialmente si no se usa) muy a menudo).

Al igual que las contraseñas suelen tener alternativas de recuperación (por ejemplo, si se envía un enlace de restablecimiento de contraseña a una dirección de correo electrónico alternativa), su autenticación de segundo factor también debería hacer lo mismo, y si no hay nada incorporado, Tienes que hacer los tuyos. Es más fácil decirlo que hacerlo, es cierto, ya que cada "paso" adicional resuelve un problema, pero introduce uno nuevo (por ejemplo, si olvido mi contraseña de correo electrónico, puedo restablecerla utilizando una alternativa, pero ahora también necesito una alternativa). para mi contraseña alternativa de correo electrónico).

Su problema, en mi humilde opinión, es que creó un "circuito cerrado" en su estrategia de respaldo: para acceder a su correo electrónico necesita su administrador de contraseñas, y para recuperar el acceso a su administrador de contraseñas necesita su correo electrónico. Al planificar la recuperación de LastPass, no puede contar con las cosas que dependen de tener acceso a LastPass ...

No creo que exista una solución única para mitigar este problema, y todas sus sugerencias son válidas según las circunstancias. Personalmente, así es como protejo mi cuenta de GMail (todavía no uso los administradores de contraseñas, por lo que la contraseña de correo electrónico está asignada a mi memoria):

  • Mi computadora personal (de escritorio) está marcada como "confiable", por lo que no requiere códigos y solo solicita mi contraseña de vez en cuando (cada 30 días, creo);
  • Mi dispositivo Android tiene Google Authenticator, pero para abrirlo (o para abrir la propia aplicación GMail, en este caso, o todo el factor de 2 factores sería bastante inútil ...) Necesito proporcionar un PIN para un Bloqueador de aplicaciones (por lo que incluso si alguien obtiene acceso a mi teléfono, no puede leer mi correo electrónico).
  • Hay un número de teléfono alternativo registrado, por lo que se puede enviar un SMS si no puedo usar el mío.

Eso me protege de la mayoría de los escenarios "catastróficos":

  • Si olvido mi contraseña y mi teléfono se pierde al mismo tiempo, todavía puedo acceder a GMail desde mi escritorio (recuperar el acceso administrativo es un poco más complicado).
  • Si olvido mi contraseña y mi escritorio se rompe al mismo tiempo, todavía puedo acceder a GMail desde mi teléfono (asumiendo que todavía puedo recordar el PIN, algo que uso con frecuencia).
  • Si mi escritorio está roto y mi teléfono se pierde al mismo tiempo, todavía puedo usar mi contraseña y los SMS en el teléfono alternativo para acceder a GMail desde otra máquina.

Mientras retiene la propiedad de 2 factores en todos los niveles:

  • Para acceder a mi escritorio, necesito acceso físico a él y mis credenciales de inicio de sesión;
  • Para acceder a mi teléfono, necesito acceso físico a él y a mi PIN;
  • Para acceder a mi correo electrónico desde otro lugar, necesito acceso físico a un teléfono (ya sea primario o alternativo) y mi contraseña.

(Nota: estrictamente hablando, solo se requiere acceso físico en los primeros dos casos, si se trata de un atacante hábil y silencioso / rápido, pero eso está fuera del alcance de esta respuesta)

    
respondido por el mgibsonbr 25.04.2013 - 10:07
fuente
2

La autenticación de dos factores de Google admite el uso de contraseñas de un solo uso.

Se supone que el usuario debe imprimir fuera de la lista (contiene aproximadamente 10 contraseñas de uso único si las recuerdo correctamente) y las guarda en un lugar seguro, en el caso de que ocurra el escenario que describió anteriormente.

    
respondido por el k1DBLITZ 25.04.2013 - 17:34
fuente

Lea otras preguntas en las etiquetas