Estoy evaluando una implementación interna de autenticación de 2 factores en una organización. El diseñador del sistema desea eliminar los nombres de usuario regulares y las contraseñas de todas las estaciones de trabajo de los usuarios, de modo que cada usuario tenga su credencial como token de inicio de sesión y deberá ingresar una clave de 6 dígitos para iniciar sesión en su estación de trabajo. ¿Es esta una práctica normal? ¿Y hace que el escenario sea más seguro o menos seguro? como revisor de seguridad, creo que esto reduce la seguridad de la estación de trabajo porque los pines de 6 dígitos son fáciles de capturar mediante ataques por los hombros y robar una credencial es no es tan dificil Los nombres de usuarios regulares y las contraseñas seguras son más difíciles de capturar por un ataque similar. Recuerde que estamos hablando de una red interna con muchos otros controles técnicos. Mi argumento es que usar solo una tarjeta y un pin es más vulnerable a los ataques físicos internos.