Acabo de encontrar esto:
Básicamente, es una técnica para eliminar contraseñas como el mecanismo de autenticación principal para conectarse a un sitio web al reemplazarlo con su dispositivo móvil.
En el sentido técnico, este es un sistema más seguro o aumenta la vulnerabilidad porque ahora centraliza el acceso a la ubicación a través de (es decir, pierde su dispositivo móvil y ahora el acceso a sus cuentas está protegido por un pin de 4 dígitos). / p>
Felicito su esfuerzo por hacer de Internet un lugar más seguro y más fácil para navegar.
El riesgo de la centralización no es diferente al de cualquier otro administrador de contraseñas, ya que si la bóveda de contraseñas está comprometida, todo está comprometido. En este caso, el dispositivo físico actuará como bóveda y el protocolo de enlace será en su mayoría automatizado.
La autenticación de un factor no es más o menos segura que los métodos existentes en sí misma porque la contraseña en sí no es la principal debilidad; El sabor del momento en los círculos de seguridad es el hombre en el medio.
La adición de la autenticación de dos factores, utilizada por los productos de Google como Gmail, Outlook en línea o tokens RSA fue otra capa de seguridad, pero aquí hay un ejemplo de dónde se obtuvo acceso a la cuenta de correo electrónico sin la cuenta de correo electrónico real. enlace . Una vez que su correo electrónico ha sido pirateado, sus otras cuentas están abiertas de par en par.
Entonces, a menos que "one-less-password" se dirija a toda la pila, solo proporciona un posible vector de ataque que es más o menos un ejercicio en el mismo ámbito.
- Cumplimiento de contraseñas, complejidad
algoritmo de encriptación
-Ingeniería social
-OS, endurecimiento del navegador
estándares de pago (PCI)
Para considerar realmente las ramificaciones de esto, deberá considerar la adopción y difusión de dicha tecnología antes de determinar cuánto aumentará o disminuirá la vulnerabilidad. En este momento, lo que hace es enviar un mensaje de correo electrónico a la dirección de correo electrónico registrada de la cuenta (o, en muchos casos, la dirección de correo electrónico es el nombre de la cuenta ... que es otro tema interesante por completo). ..) y el usuario utiliza el enlace de autenticación de una sola vez para obtener acceso al recurso.
Algunos problemas que puedo ver:
Las personas utilizarán la misma dirección de correo electrónico para su autenticación. En este momento, parece conveniente. Es simple, comprensible, fácil y puede reducir la carga de su contraseña. Sin embargo, ¿con qué frecuencia las personas van a crear otra dirección de correo electrónico? Casi nunca.
La adopción generalizada cambia la responsabilidad
Esto es algo realmente obsceno, en mi opinión. Entonces, envía un mensaje a una cuenta de correo electrónico que no puede usar la autenticación basada en correo electrónico (o, si lo hace, tiene que terminar en algún lugar donde exista una forma alternativa de autenticación) y obliga al proveedor de correo electrónico a llevar la La carga de autenticar a tus usuarios por ti. Brillante. Simplemente hagamos que los (competidores) lleven las bases de datos de contraseñas con hash y sal y usemos sus bases de datos para autenticar a nuestros usuarios. ¿Aún no necesitas una contraseña para acceder al recurso? Sí. Tiene que terminar en alguna parte.
No me gusta. En absoluto.
Va a ser menos seguro ya que gana adopción porque enfoca el punto de falla. Incluso puede ser menos seguro ahora, porque tiene todos sus huevos en una canasta y ni siquiera tiene el beneficio de daños compartimentados. No es bueno.
Lea otras preguntas en las etiquetas passwords security-theater