¿Puede un pirata informático comprometer el sistema si puede robar uno de los factores del 2FA?

  

¿Leí un artículo que dice que las tarjetas inteligentes utilizadas como 2FA todavía son susceptibles a ataques como el ataque MITM?

Interpreto las partes relevantes de este artículo como sigue:

1. Un pirata informático podría reflejar el sitio web original que solicita la contraseña y el token 2FA y simplemente enviar las credenciales que ingresó al sitio original, y luego hacer lo que quiera con la sesión ahora iniciada.
2. Se puede realizar una autenticación 2FA solo en el sistema local y luego se usa el resultado (en forma de un token de autenticación) para autenticar en un sistema remoto, luego este token podría ser robado.

Para abordar el primer problema: Esto es cierto si el 2FA es solo un tipo de token que ingresas. Si, por el contrario, la tarjeta inteligente tiene un certificado de cliente que se usa para la autenticación mutua dentro de una conexión TLS, entonces esto no puede ser robado cuando se conecta a un sitio web falso ni la autenticación puede reenviarse al sitio original ya que el atacante no tiene acceso al Clave privada almacenada en la tarjeta inteligente.

Y para el segundo problema: si la autenticación completa solo se realiza en la máquina local y luego la máquina local proporciona cierta autenticación en la máquina remota, esta máquina remota, por supuesto, no puede verificar si 2FA es válida y simplemente debe confiar en la máquina local. Por lo tanto, la pregunta no es solo cómo autenticar, sino también contra quién se autentica: una máquina local o un sistema remoto. Por supuesto, dado que no se envía información 2FA al sistema remoto en primer lugar, no se realiza un MITM de 2FA. Y sí, un pirata informático podría interceptar el token de autenticación a menos que la transferencia del token esté protegida contra MITM, por ejemplo, dentro de una conexión TLS con autenticación mutua entre las máquinas.

En otras palabras: las tarjetas inteligentes por sí mismas no se ven afectadas por MITM. Pero podrían usarse de una manera que haga que MITM aún sea posible o que haga que ignore al segundo faktor. Sin embargo, el uso de tarjetas inteligentes para la autenticación mutua dentro de una conexión TLS se considera seguro incluso si el sitio web al que se conectó no era el correcto.

Las tarjetas inteligentes son las opciones más seguras que conozco. Y si solo el pirata informático compromete la contraseña o solo la tarjeta inteligente, el sistema es seguro. Ambos son necesarios para la autenticación.

Lo que este artículo intenta señalar es que 2FA como concepto solo detiene algunos tipos de ataques, pero no evita todo tipo de ataques. Además, 2FA aún debe implementarse, lo que deja los mismos problemas que cualquier otro software de seguridad. La implementación puede estar mal diseñada o tener errores, que no tienen nada que ver con el 2FA en sí. Es como si RSA estuviera seguro, pero abierto, siendo vulnerable a sufrir una hemorragia cardíaca. RSA es seguro, pero solo porque lo esté utilizando no significa que no haya otro problema.

Aquí hay una lista de ejemplos rápida y probablemente incompleta de lo que 2FA no lo protege a usted:

• MITM: un atacante que escucha en la línea e intercepta su conexión. Se debe usar SSL para evitar esto, 2FA no lo hace.
• Sitio web falso: un atacante que busca el mismo sitio y engaña al usuario para que inicie sesión en él, luego envía las credenciales (tarjeta inteligente y contraseña) al sitio real. El atacante solo puede atacar en este momento, mientras que con una contraseña, puede guardarlo para más tarde.
• Compromiso del servidor: 2FA no ayuda en absoluto si su servidor subyacente se ve comprometido, por ejemplo, con un error como hartbleed como se mencionó.
• Ataque físico: 2FA no hace casi nada para detener a un atacante con acceso físico a la máquina.
• Ataque al método de recuperación: como restablecer la contraseña / tarjeta inteligente por correo. Si existe una opción de recuperación de este tipo, a menudo se puede abusar. Esto se aplica tanto a los automatizados como a los manuales realizados por humanos (ingeniería social).
• Ingeniería social en un administrador: un atacante puede intentar convencer a un administrador de que perdió su tarjeta inteligente y necesita reiniciarla o deshabilitarla para iniciar sesión.

En conclusión, 2FA es útil, pero debe usarse junto con otras medidas de seguridad. No es una solución única para todos sus problemas. Recomiendo encarecidamente que un profesional diseñe su estrategia de seguridad.

Tenga en cuenta que algunos de estos pueden prevenirse con diseños avanzados de 2FA pero no con los comunes.