Cifrado de disco completo y autenticación multifactor

El problema es que la mayoría de los métodos de autenticación de múltiples factores son solo eso: la autenticación. A menudo requieren un código para verificar la validez del token o la información que usted presenta.

Sin embargo, con el cifrado de disco, su contraseña es la clave de cifrado real. No hay un controlador de acceso involucrado, ya sea su clave descifra los datos o no lo hace.

He usado la función de contraseña estática de Yubikey que te permite crear una contraseña de 32 caracteres, lo cual es bueno, pero como dijiste, realmente no está sucediendo "lo que tienes", es solo una contraseña estática eso podría ser interceptado e ingresado sin el token físico presente.

Probablemente podría encontrar una manera de realizar una verdadera autenticación de dos factores utilizando un HSM que realice una autenticación real (como exigirle que ingrese un PIN) o podría almacenar un archivo de claves en un dispositivo que proporcione una autenticación de dos factores. Pero en última instancia, todo lo que está haciendo es proporcionar una contraseña más larga o un archivo de claves estático.

No estoy de acuerdo con sus premisas aquí: argumentaría que dos factores son dos factores, ya sea una respuesta estática o de desafío, y no hay una diferencia de seguridad fundamental entre las dos, solo diferencias prácticas que hacen que una u otra sea una mejor opción para una implementación particular.

Por ejemplo, si no se está autenticando en la computadora local, sino en un servidor remoto a través de la computadora, la respuesta de desafío podría resultar un poco más segura porque hace menos en la máquina local (que es menos más confiable que el servidor.) Pero este es un problema de implementación práctica, no es algo fundamental.

Espero que la razón por la que la mayoría de las veces vea estática con los productos FDE sea una decisión comercial. Es un poco más fácil desarrollar un sistema que admita múltiples tipos de token estático que uno que admita múltiples tipos de desafío / respuesta, y dado que los factores de dos factores suelen ser posicionados como un extra opcional por los proveedores de FDE, ya que admite múltiples marcas de token es bueno para ventas

Microsoft BitLocker admite el desbloqueo de TPM + PIN, por lo que una combinación de una clave de descifrado almacenada en el hardware (algo que tienes) y una contraseña / PIN ingresada al inicio (algo que sabes) se usan juntas para descifrar el volumen de arranque.

Entonces, la respuesta es sí, si tienes un hardware que incluye un TPM y una edición de Windows que admita BitLocker.

Si bien BitLocker tiene una capacidad de clave de recuperación que no es multifactorial, la administración adecuada de claves (rotación, por ejemplo, a través de Microsoft BitLocker Administration and Monitoring - MBAM) puede hacer que este punto sea discutible.