¿Las opciones de recuperación de la cuenta anulan la autenticación de 2 factores más sólida?

Navega tus respuestas
0

Se recomienda la autenticación de 2 factores (2FA) para reducir el riesgo de que una cuenta se vea comprometida, ya que el atacante debe saber algo más que su contraseña. Existen muchas formas de implementar 2FA y algunas se consideran más débiles que otras (por ejemplo, SMS vs. Yubikey).

Los proveedores de servicios generalmente ofrecen opciones de recuperación para los usuarios en caso de que se pierda su segundo factor, reemplazando efectivamente un segundo factor por otro. ¿Pero no derrota esto alguna fuerza en el segundo factor original?

    
pregunta Andrada2 27.07.2018 - 21:34
fuente

1 respuesta

1

¡Ciertamente puede ser! Al diseñar un sistema de este tipo, debe tener en cuenta que el mecanismo de recuperación de cuenta reducirá un sistema 2FA a un sistema 1FA, por lo que el mecanismo de recuperación de cuenta debe mantenerse en el mismo estándar (o superior) que el método 2FA. / p>

Dependiendo de la política de seguridad de su organización, lo siguiente probablemente sería aceptable como "Método 2FA < = Método de recuperación":

  • Método 2FA: Ninguno. Método de recuperación: pregunta y amp; respuesta.
  • Método 2FA: SMS / email OTP. Método de recuperación: enlace de restablecimiento de contraseña de correo electrónico.
  • Método 2FA: aplicación OTP. Método de recuperación: códigos de recuperación que imprimió durante la configuración.
  • Método 2FA: token OTP o yubikey. Método de recuperación: póngase en contacto con su administrador.

Si responde "¿Nombre de su primera mascota?" fue suficiente para entrar en la configuración de la cuenta y deshabilitar un Yubikey, eso sería una vulnerabilidad que vale la pena informar con seguridad.

    
respondido por el Mike Ounsworth 27.07.2018 - 21:44
fuente

Lea otras preguntas en las etiquetas

¿Qué sucede si mi clave privada es robada en la web de confianza? ¿Por qué se usa PKCS? [cerrado]