¿Qué tan seguros son los “autenticadores móviles” frente a los llaveros tradicionales?

6

La autenticación de dos factores, contraseña + dispositivo, parece ser cada vez más común entre los consumidores con productos como los autenticadores Battle.NET de Activision Blizzard. Sin embargo, tengo curiosidad por saber cuál es la diferencia en el nivel de seguridad entre un llavero autónomo y un teléfono móvil.

Dada la conectividad de un teléfono móvil, parece mucho más vulnerable que un dispositivo con un botón y una pantalla que debería desmontarse para obtener acceso (pero incluso con acceso directo al hardware, ¿está la clave protegida?) Dado que ambos agregue un poco de seguridad adicional y el grupo de personas que optan por no usarlo sigue siendo grande (si no la mayoría), esto probablemente no sea un problema en el caso de Battle.NET, pero en general, ¿cómo se comparan?

    
pregunta Nick T 22.05.2012 - 23:12
fuente

5 respuestas

6

En relación con la idea de la autenticación de múltiples factores, cualquier factor adicional más allá de algo que sabes agrega un nivel adicional de complejidad para que alguien obtenga acceso no autorizado a una cuenta. El segundo factor que muchas organizaciones usan es algo que tienes , ya sea un tipo de mando (OTP basado en eventos o tiempo), tarjeta inteligente (HSM), teléfono (SMS, llamada) o una aplicación (en el caso de tokens "blandos" (ya sea una aplicación que está instalada en el teléfono o la computadora).

Los llaveros se han popularizado, pero la industria de la seguridad ha visto que la explotación es posible (haga una búsqueda en RSA y verá por qué). Las llaves pueden romperse si alguien rompe el sistema. En lugar de desensamblar cada token, un atacante entró en el RSA y obtuvo acceso (aunque no recuerdo si esto estaba "probado" o no) a la "salsa secreta" que hace que cada token sea único. De manera similar, las tarjetas inteligentes y los tokens USB pueden romperse si el adversario ataca con éxito un nivel superior en la pila de tecnología o el proceso para garantizar que cada tarjeta inteligente sea única. Los autenticadores móviles pueden romperse (igual que con RSA o por otros medios), pero la idea nunca ha sido bloquear el 100% de los ataques, lo que es un costo prohibitivo para la mayoría de las organizaciones. El objetivo es implementar tecnologías preventivas (cuando sea posible) y de detección, de manera que los intentos de acceso no autorizados se bloqueen o se identifiquen en caso de éxito. Con ese fin, los dispositivos móviles y de hardware siguen agregando valor.

Quizás, para su punto, los autenticadores móviles probablemente brinden suficiente protección para los usuarios de Battle.NET. Fundamentalmente, están protegiendo contra los usuarios que roban dinero o obtienen acceso a la cuenta de otra persona. En el caso de que alguien esté realmente interesado en romper el sistema, el hardware o los autenticadores móviles (o incluso biométricos) en capas en el tercer y cuarto factor pueden no ser suficientes. Por lo tanto, desde una perspectiva de costos, los autenticadores móviles son más económicos de implementar, más fáciles de usar para los usuarios y proporcionan una capa adicional de protección. Los autenticadores de hardware son más costosos tanto para el usuario como para el proveedor del juego para implementar y mantener.

Para resumir, el móvil es lo suficientemente bueno para el caso de uso.

    
respondido por el bangdang 22.05.2012 - 23:30
fuente
5

Es un compromiso, ambos tienen diferentes ventajas y debilidades. Los autenticadores móviles IMO son mucho más fuertes que los tokens clásicos en la práctica, si se construyen correctamente.

Su gran ventaja es que pueden mostrar lo que estás autorizando en un lugar donde un troyano en tu PC no tiene acceso.

Por ejemplo, con la banca en línea puede mostrar la cantidad transferida y el número de cuenta objetivo.

Para juegos, puede distinguir inicios de sesión simples para jugar y operaciones de alto riesgo como cambiar la contraseña, el correo electrónico o desactivar el autenticador.

Su debilidad es que es más fácil comprometer un teléfono inteligente que comprometer un token simple.

    
respondido por el CodesInChaos 22.05.2012 - 23:26
fuente
2
  

Dada la conectividad de un teléfono móvil, parece mucho más   vulnerable que un dispositivo con un botón y una pantalla que necesitaría   ser desmontado para obtener acceso (pero incluso con acceso directo al hardware,   ¿Está protegida la clave?) Dado que ambos agregan algo de seguridad adicional   y el grupo de personas que optan por no usarlo es todavía grande (si no es así)   la mayoría), esto probablemente no sea un problema en el caso de Battle.NET,   pero en general, ¿cómo se comparan?

Su pregunta realmente es: "Es una aplicación de escritorio que genera un token de seguridad tan seguro como un dispositivo físico que hace lo mismo"

La respuesta a esta pregunta es: depende

Recientemente, se descubrió que la aplicación RSA Windows que genera un token de seguridad tiene una falla de seguridad no solo por su funcionamiento, sino también porque utiliza una función de seguridad integrada en Windows para proteger los datos del token. Para mantener esta declaración breve, se descubrió que el token se puede copiar, lo que permite que se generen tokens futuros.

Este defecto también existe en algunas versiones de autenticadores móviles. Por ejemplo, es posible "duplicar" el Blizzard Mobile Authenticator y escribir una aplicación de escritorio si rootea / jailbreak su Android / IPhone y copia el token de serie y secreto. Esto se debe a que el archivo que contiene esta información al menos en Android no está bien protegido (operación de cambio). En el caso de un iPhone con jailbreak, las funciones básicas de seguridad en el sistema operativo se pueden desactivar, que normalmente no se pueden desactivar, para hacer algo similar.

Al final, una aplicación en un sistema cerrado como un teléfono móvil es mucho más segura que una aplicación de escritorio tradicional .

Considero que Android, Windows Phone 7.xy iPhone son sistemas cerrados

Es probable que algunos de los problemas con la aplicación de escritorio RSA Windows se vean obstaculizados por su compromiso anterior en función de cómo funciona el algoritmo

    
respondido por el Ramhound 23.05.2012 - 14:19
fuente
1

Supongo que está hablando de un dispositivo móvil de algún tipo que muestra o transmite una contraseña única derivada de un secreto compartido y la hora o un contador compartido. Tales dispositivos se dividen en tres categorías:

  • Un dispositivo independiente con pantalla.
  • Un dispositivo independiente con una interfaz USB (u otra) a la que se debe acceder a través de una computadora.
  • Un dispositivo de propósito general, como un teléfono móvil.

La seguridad relativa de los distintos tipos de dispositivos depende de su modelo de amenaza.

La amenaza más obvia es que un atacante robe o tome prestado el dispositivo. En este escenario, no importa lo difícil que sea extraer la clave del dispositivo: el atacante simplemente necesita poder usarla de la manera habitual.

El atacante solo necesita extraer la clave si quiere poder autenticarse más tarde, pero desea que su potencial de acceso no se detecte. Con este objetivo, el atacante debe obtener acceso temporal al dispositivo, extraer la clave y luego devolver el dispositivo a su propietario. Después de esto, el atacante puede pasar desapercibido siempre que no haga conexiones demasiado frecuentes a la cuenta si la OTP se deriva de un contador, o indefinidamente si la OTP se deriva de la hora.

La seguridad de la clave contra un atacante con acceso físico solo importa si desea protegerse contra el acceso oculto. Un dispositivo independiente puede tener mejor protección contra ataques físicos que un teléfono móvil, sin embargo, dicha protección cuesta dinero, y los tokens de autenticación generalmente son un elemento de bajo costo. Los teléfonos móviles de gama alta tienen cierta protección limitada contra ataques físicos; por ejemplo, no es tan fácil extraer datos de un iPhone. Además, la mayoría de los teléfonos móviles contienen una tarjeta SIM , que es a prueba de manipulaciones; algunos proveedores OTP pueden instalar la clave OTP en la tarjeta SIM. Algunos teléfonos móviles contienen un elemento seguro incorporado, que es similar a la SIM pero está controlado por el fabricante del dispositivo en lugar del operador de la red.

La mayoría de los dispositivos de token OTP muestran la OTP con solo presionar un botón. Un teléfono móvil tiene la oportunidad de requerir autenticación (PIN, gesto de paso, ...). El grado de mejora de la seguridad depende de si el teléfono ha sido desbloqueado y de la solidez de la autenticación.

Existe una amenaza en la que el teléfono móvil obtiene una ligera ventaja: que el usuario pierda el token. Esto es además del beneficio de la usabilidad de tener un solo dispositivo. Un usuario que tiene muchos tokens OTP tiene más probabilidades de perder uno de ellos, o de no darse cuenta de su robo por un tiempo, de lo que es probable que pierda su teléfono móvil.

Una amenaza diferente es la de malware en el dispositivo. Los dispositivos independientes son bastante inmunes, asumiendo que estaban limpios cuando el usuario los recibió. Los teléfonos móviles son vulnerables; un atacante que puede instalar malware que recupera tokens OTP obtiene acceso remoto a las contraseñas de un solo uso. Los dispositivos sin su propia pantalla son igualmente vulnerables al malware en la computadora a la que están conectados, aunque este malware solo podrá obtener una OTP mientras el dispositivo esté conectado.

    
respondido por el Gilles 31.05.2013 - 20:02
fuente
0

Básicamente, de la forma en que lo veo Con un token físico de RSA, solo hay algunos lugares donde un atacante puede obtener el archivo Seed para poder duplicar el token en el software. # 1 de RSA, # 2 desde donde almacenó los medios que RSA le envió, y # 3 el servidor de autenticación.

Con los tokens de software de RSA puede agregar a esa lista la PC o el teléfono móvil que ejecuta el token de software.

Con TOTP (token de software de estilo autenticador de Google) está el servidor de autenticación y la PC o teléfono móvil que ejecuta la aplicación del token. El servidor de autenticación genera el código semilla en sí mismo, por lo que no hay un tercero como RSA para que el atacante lo intente.

Dicho esto, no soy criptógrafo, por lo que no estoy calificado para hablar sobre las fortalezas y debilidades relativas entre el estilo de Google TOTP y el algoritmo de RSA. (o cualquier otro)

    
respondido por el Rod MacPherson 31.05.2013 - 16:50
fuente

Lea otras preguntas en las etiquetas