Autenticación de 2 factores vs preguntas de seguridad

  

1. ¿Hay otros que me faltan?
  

La contraseña de un solo uso tiene más entropía que el nombre del perro y es menos vulnerable a los ataques de enumeración / diccionario.

En un sitio de phishing, es bastante fácil mostrar alguna pregunta personal trivial (por ejemplo, cuál es el nombre de su perro). El sitio de phishing no necesita saber la respuesta. Por otro lado, es bastante difícil falsificar una contraseña única que se envía a tu teléfono, ya que el phisher no sabrá tu número.

  

¿
2. colocando una puerta de hierro en la parte delantera y dejando la puerta trasera abierta?
  

Tal vez un poco. Probablemente no sea una preocupación si la cookie tiene suficiente entropía, es decir, es lo suficientemente difícil de adivinar. Si el pirata informático tiene algún medio para obtener la cookie, por ejemplo. tiene acceso físico a la computadora: de todos modos, estás jodido.

  

3. cuando borro mis cookies, todavía "reconocen" mi dispositivo
  

Hay un par de explicaciones posibles para esto.

Como ha notado, una explicación es la dirección IP, aunque esto no funcionaría muy bien para dispositivos móviles o ciertos ISP (las direcciones IPv4 cambian de vez en cuando).

Otra explicación es que la cookie está respaldada por un token diferente, por ejemplo. un token Flash, que no se borra cuando se borran las cookies.

Una tercera explicación es que realmente no están verificando si "conocen" su computadora. En su lugar, están realizando un análisis de las bases de riesgo de las huellas dactilares, las cookies, la dirección IP, etc. de su navegador y obtienen una puntuación. Se te pedirá el MFA si tu puntaje no es lo suficientemente bueno. La falta de cookies no necesariamente lo activa.

  

1. ¿Puede alguien ayudarme a enumerar todas las razones por las que el token de una sola vez es más seguro que las preguntas de seguridad?
  

Para evaluar la seguridad de un sistema, no solo debemos elogiar sus ventajas sino también sus inconvenientes. Así que me estoy centrando en este último aspecto, ya que usted y @JohnWu mencionaron los aspectos positivos esenciales de las PTO, pero son vulnerables a estos ataques:

• Pharming
• Reproducción en tiempo real
• Man-in-the-middle
• Man-in-the Browser

Algunas soluciones se implementan para resolver algunos aspectos de estas vulnerabilidades, una de ellas es navegadores reforzados , otros sugirieron el uso de tokens encriptados . Personalmente, prefiero los tokens OATH que se utilizan, por ejemplo, por Google.

También hay algunas otras consideraciones (incluso si son extremas pero es probable que ocurran casos) como por ejemplo cuando se roba su dispositivo (computadora portátil / teléfono) justo antes de usar el token que tiene. Tenga en cuenta que, según el país y el método utilizado para generar y entregar el token, algunos bancos solían cobrarle a los clientes (al menos en el pasado).

  

3. Tenga una cuenta con un banco diferente que utilice una seguridad similar.   Sin embargo, cuando borro mis cookies, todavía "reconocen" mi dispositivo. yo   asumiría que están rastreando los dispositivos conocidos por dirección IP y   posiblemente otra información del encabezado HTTP. ¿Sería esto una mejor / más?   ¿Una forma segura de "reconocer" que la cookie?
  

Comprueba mi respuesta a tu segunda pregunta:

  

2. Es el hecho de que están utilizando cookies para "reconocer" un dispositivo y   por lo tanto, ya no se solicita el token único que subvierte este   mecanismo de seguridad (como poner una puerta de hierro al frente y salir   la puerta trasera desbloqueada)?
  

Hay muchas cosas que un atacante puede hacer con una cookie secuestrada, pero en el contexto que describe (sistema bancario), es inútil si la cookie está comprometida. Su pregunta es demasiado seria si las cookies son el único factor utilizado por los bancos para reconocer su dispositivo, pero afortunadamente otras técnicas efectivas como huellas digitales del navegador se usan en paralelo (algunos otros métodos se enumeran aquí también: ¿Cómo determinan los bancos cuándo solicitar una autenticación de dos factores?

El token de una sola vez ofrece mucha más seguridad que la pregunta secreta simplemente porque implementa la autenticación de 2 factores; En igualdad de condiciones, 2FA (contraseña + código a través de SMS, contraseña + token RSA SecurID, etc.) siempre es más seguro que una simple contraseña.

Por otra parte, la infame "pregunta secreta", que a menudo ofrecen los servicios web como una mejora de seguridad similar a 2FA, no solo no ofrece ninguna mejora con respecto a una contraseña, sino que también reduce la seguridad. Esto se debe a que las respuestas secretas tienen mucho menos entropía ("¿Cuál es tu color favorito?") Y están sujetas a ser adivinadas ("¿Cuál era el nombre de tu escuela secundaria?").

El hecho de que su banco le permita omitir 2FA a través de una cookie se hace para mejorar la accesibilidad del usuario (de alguna manera marca su computadora como "segura", por lo que todos los inicios de sesión posteriores se harán a través de una contraseña simple). Podría ser un riesgo de seguridad si su computadora portátil es robada o infectada con un troyano. Personalmente, le recomiendo que borre las cookies después de cada sesión para que se vea obligado a autenticarse siempre a través de 2FA.