Uso del software del teléfono inteligente Symantec VIP Access para 2FA

  

si uso Symantec VIP Access tanto para SiteA como para SiteB, ¿no le otorga esto efectivamente a los tokens TOTP de SiteA que puede usar para suplantar mi identidad en SiteB?

Sí. 2FA no necesariamente niega completamente los riesgos de la reutilización de la contraseña. Dudo que Symantec permita el uso del mismo código dos veces (el sistema requiere que el servicio envíe el código a Symantec para su validación), pero un servicio malintencionado podría no validarlo con los mismos Symantec.

Vale la pena señalar que los sitios pueden integrar opcionalmente notificaciones push basadas (donde la aplicación le pide a Symantec que le pida a su teléfono que genere un token) o autenticación basada en QR (donde se presenta un código QR que utiliza su teléfono cuando genera el token). ). Ambos eliminarían ese riesgo.

  

Symantec no admite ninguna forma de hacer una copia de seguridad de su secreto: su solución documentada para un smartphone perdido, roto o reemplazado es ponerse en contacto con el soporte técnico de cada sistema con el que haya registrado mi "ID de credencial" .

Esto parece ser por diseño. Estoy de acuerdo en que es una mala decisión. Sin embargo, desde una perspectiva de seguridad / marketing, es posiblemente mejor: si alguien roba tu teléfono probablemente lo notarás, si alguien clona tu token no lo harás.

  

¿Tengo alguna alternativa mejor que pedir (de manera inútil) a los administradores de sistemas que usan Symantec VIP Access que se cambien a algo que no apesta?

La única otra opción es quejarse a Symantec. Aunque yo diría que quejarse a sus clientes es probable que tenga un mayor impacto.