Cuando un usuario ha iniciado sesión en un sistema con su contraseña principal, ¿hay algún valor en solicitar una segunda contraseña distinta al realizar funciones confidenciales?
¿Proporciona algún beneficio al solicitar su contraseña principal nuevamente?
Considero que una segunda contraseña no es una autenticación de dos factores (2FA), pero ¿de qué manera se beneficia (si es que lo hace) al solicitar la contraseña que solo usaron para iniciar sesión?
De acuerdo. Definitivamente no hay dos factores.
Las tres clases de factores son algo que usted sabe (una contraseña), algo que tiene (un token de seguridad de algún tipo) o algo que usted es (patrón de iris, huella digital, etc.).
Si una segunda contraseña es de alguna utilidad, depende de su aplicación y entorno.
De muchas maneras, la segunda contraseña puede ser menos segura desde un aspecto social, ya que se usa con menos frecuencia, por lo que es más probable que se escriba. Cuán menos seguro dependería de si es probable que un atacante potencial esté rondando a sus usuarios.
Si está preocupado por un ataque de fuerza bruta, sería útil tener dos contraseñas, pero solo insistir en que la primera fue tan larga como la longitud de la contraseña combinada. La fuerza bruta se puede detectar y prevenir fácilmente en su aplicación.
Podría ofrecer una protección limitada contra el rastreo si se usa con poca frecuencia, ya que es posible que el rastreador no haya estado funcionando el tiempo suficiente para ver ambas contraseñas. Aunque si está utilizando SSL, entonces implica un ataque de intermediario, o un compromiso del entorno de los usuarios o servidores. De cualquier manera, tienes problemas.
Pedir la reentrada de la contraseña original asegura que la persona que está a punto de realizar la función de alta seguridad sigue siendo la misma que la que inició sesión. Útil en algunas circunstancias.
Finalmente, puede dar la percepción de una mayor seguridad, que puede tener un valor de marketing en algunas circunstancias.
Sin embargo, en general, es probable que cualquier aumento en la seguridad sea marginal.
Una segunda contraseña (es decir, una pregunta de seguridad) puede garantizar una seguridad adicional cuando se usa correctamente. Por ejemplo, RBC usa 3 preguntas de seguridad, elegidas al azar durante el inicio de sesión. Esta es una especie de red de seguridad que si la contraseña se ha comprometido (rastrear, fuerza bruta, etc.), la segunda contraseña no está relacionada, es "impredecible" y podría evitar que se use la cuenta.
Sin embargo, la segunda "contraseña" es probablemente manejada de la misma manera que la primera. Por lo tanto, si se comprometió la primera contraseña, es probable que la segunda también pueda ser atacada de la misma manera. En este sentido, es más disuasivo que la prevención real. A menos que ambas contraseñas se manejen y almacenen de maneras completamente diferentes ...
Al menos eso es lo que yo entiendo. Espero que ayude de alguna manera u otra.
Tienes razón. Una segunda contraseña es no un segundo factor en un esquema 2FA.
Como mencionó @drunkenRabbit, lo más probable es que un usuario trate la segunda contraseña de la misma manera que trata la primera contraseña. Si la primera contraseña está comprometida, es un supuesto seguro que la segunda contraseña también está comprometida. De hecho, si la segunda contraseña tiene la forma de una pregunta de seguridad, incluso podría ser menos segura que la primera contraseña, ya que el usuario podría no tratar la pregunta de seguridad de la misma manera que ha sido entrenado para no dar a conocer sus contraseñas.
Un esquema 2FA solo funciona si el factor es algo completamente diferente. Si la segunda contraseña en su escenario se cambia a una contraseña de un solo uso, eso cumpliría con los requisitos de un esquema 2FA ya que la OTP ya no es algo que ya sabe. En cambio, es algo que tiene: el dispositivo en el que recibe la OTP, ya sea una aplicación en su teléfono móvil o un token de hardware dedicado.
Lea otras preguntas en las etiquetas web-application passwords authentication