¿Es obligatorio en MFA que los factores deban ser (1) algo que tienes + (2) algo que sabes + (3) algo que eres, o está bien usar cualquiera de los dos factores varias veces (por ejemplo, contraseña)? + huella digital + escaneo de retina)?
Parece que hay un factor más a considerar como "algo que haces" que incluye tu patrón de escritura a mano, velocidad de escritura, etc. [Ref: Seguridad de la computadora: Arte y amp; Ciencia por Mat Bishop].
Tenga en cuenta que MFA incluye 2FA y 3FA.
La definición ampliamente aceptada de autenticación multifactor (consulte esta definición del NIST ) es:
Autenticación utilizando dos o más factores diferentes para lograr la autenticación. Los factores incluyen: (i) algo que sabes (por ejemplo, contraseña / PIN); (ii) algo que tienes (por ejemplo, dispositivo de identificación criptográfica, token); o (iii) algo que eres (por ejemplo, biométrico).
Énfasis en factores , no en datos .
Por lo tanto, su esquema propuesto calificaría como 2FA, que es una forma de MFA ("dos o más factores diferentes"), pero no 3FA.
La verdadera autenticación de tres factores implica una contraseña / PIN + una ficha / tarjeta inteligente + una característica biométrica.
Para que algo cuente como "factor múltiple", debe tener factores de al menos dos de esas categorías. Entonces, la contraseña + huella digital + retina es multifactor, ya que es algo que sabes y algo que eres. De hecho, aún contaría incluso si se eliminara la exploración de la retina. Pero por ejemplo contraseña + PIN no contaría, ya que es solo un factor, es decir, algo que ya sabes.
En MFA (2, 3, 4FA), comienza con una declaración: Quién soy yo (nombre de usuario): este no es un factor, es un reclamo.
Factores para probar el reclamo (autenticación): algo que sabes, algo que tienes, algo que eres, algo que haces, en algún lugar en el que te encuentras. Respuestas típicas a los factores (en orden): contraseña; certificado, código basado en tiempo (OTP), solicitud de código de teléfono celular; huella digital, escaneo de retina, impresión de voz; firma, agita tus manos, baila; Dirección IP.
No puede reutilizar factores para tener autenticación multifactor.
Lea otras preguntas en las etiquetas authentication multi-factor