TOTP: Almacenar secretos simétricos

1

Estoy en el proceso de investigar métodos 2fa para un sistema de control de acceso físico conectado a la nube. Hay muy poco margen de error en este espacio.

¿Soy solo yo o el TOTP para la autenticación de dos factores parece un paso atrás a los días de la autenticación de resumen en el que tiene que almacenar el secreto simétrico de manera reversible? Las contraseñas almacenadas en texto sin formato eran, y siguen siendo, rampantes y ha habido miles de exposiciones de alto nivel de estos secretos incluso por las entidades más grandes.

¿No estamos retrasando la inevitable exposición de los secretos de TOTP junto con las bases de datos vulnerables de información de usuarios que se ven comprometidas por atacantes cada vez más hábiles?

En un mundo en el que tenemos motores criptográficos asimétricos de hardware en casi todos los dispositivos utilizados para 2fa, ¿por qué este método de autenticación de un dispositivo se ha convertido en el más popular?

Con sistemas como Secure Element y Touch ID que fortalecen el acceso con silicio y biometría, tenemos acceso a la seguridad que incluso los actores gubernamentales luchan por transigir, tanto que están avanzando hacia la legislación para debilitarla.

El almacenamiento de claves derivadas ha sido la mejor práctica para proteger las contraseñas en reposo durante al menos una década, pero esta estrategia no se puede usar para proteger los secretos compartidos de TOTP. Esto deja un cifrado simétrico, que incluso cuando se implementa correctamente tiene un valor dudoso en la protección de sistemas en vivo. La PKI ha existido por más tiempo y aún sigue luchando por lograr un lugar en el espacio de implementación.

Sigue siendo el Salvaje Oeste en la mayoría de los aspectos y un lanzamiento de basura de RFC de kilovatios e implementaciones defectuosas. ¿Existe algún sistema fácil de usar que aproveche la tecnología PKI disponible hoy en día para afirmar de forma segura la identidad del dispositivo para 2fa en un sistema conectado a Internet que puede ser sumamente seguro?

    
pregunta joshperry 04.06.2016 - 20:46
fuente

1 respuesta

1

Debe tener en cuenta que TOTP se deriva de HOTP (RFC4226), que fue RFCed en 2005. ¡Este fue el momento en que los teléfonos inteligentes aún no están disponibles!

El algoritmo fue NO diseñado para el Google Authenticator. pero para tokens de hardware, que no estarían conectados a una computadora o no tendrían conexión a Internet. Así que tendrías que usar la interfaz óptica humana, el ojo y los dedos tipográficos.

Cuando lo pienses un poco, te darás cuenta de que en este escenario, donde deseas poder escribir una contraseña de un solo uso, esto debe generarse a partir de una clave simétrica, ya que en el proceso de creación de la OTP. , hay un truncamiento involucrado (de modo que la OTP es lo suficientemente corta como para que sea divertido escribir). Si estuviera utilizando criptografía asimétrica para crear una OTP, el truncamiento destruiría su criptografía.

Sí, PKI, las tarjetas inteligentes serían aún mejores, pero no te alegrarás con la molestia del conductor en muchos escenarios.

Por supuesto, si el atacante obtiene acceso al sistema de autenticación o la base de datos, está perdido. Pero si el atacante obtiene acceso a sus documentos secretos en el backend, no debe preocuparse por 2FA. Así que la pregunta es, ¿qué modelos de amenaza desea mitigar? Y todavía hay mucho por ahí, por lo que un algoritmo de contraseña de una sola vez basado en una clave simétrica funciona bastante bien.

    
respondido por el cornelinux 05.04.2018 - 22:52
fuente

Lea otras preguntas en las etiquetas