Estoy buscando la funcionalidad de restablecimiento de contraseña para un proyecto en el que estoy trabajando. Mirando las pautas de OWASP, sugiere el uso de SMS como un canal fuera de banda para esto. ( enlace )
Sin embargo, NIST parece desaconsejar esto. Si el código para SMS expirara (por ejemplo, en 20 minutos), esto mitigaría el riesgo de usar SMS. ¿O es SMS completamente mal visto en su estado actual?
La caducidad de tu token SMS en 20 minutos no mitigará el ataque. Los malos actores pueden usar ataques de enrutamiento SS7 o ingeniería social para obtener acceso a sus mensajes de texto. Los ataques de ingeniería social son mucho menos tecnológicos y fáciles de hacer. En esencia implican:
Una vez que hayan obtenido el control y el acceso a algunas cuentas clave (sus mensajes de texto y su correo electrónico principal) tienen las claves del reino y pueden tomar el relevo, restablecer las contraseñas y bloquearlo lo más rápido posible. . Por lo general, a las personas les toma aproximadamente 1 hora descifrar que fueron hackeados. Pero, incluso si se da cuenta en 15 minutos, es muy posible que ya haya perdido el control de las cuentas clave, y le tomará algo de tiempo volver a entrar. Durante ese tiempo, los actores malos se están enrutando en su información personal que recopila datos. y planificando el siguiente movimiento, que incluye excluyendo el bloqueo.
Para 2FA fuerte y fuera de banda, muy poco supera la seguridad de las contraseñas de un solo uso basadas en el tiempo, que utiliza la autenticación de Google Yubikey.
Hay varias bibliotecas que puedes usar para generar las claves 2FA. Aquí hay algunos ejemplos:
Me preocupa un poco que OWASP no haya actualizado su lista a la luz de las recomendaciones del NIST y de la violación de Equifax, que pone en riesgo las preguntas de seguridad de las personas. Tal vez tengan sus razones. Especificando cuáles son esas razones, podría ser que las preguntas de seguridad no tengan que ser respondidas con la verdad. Ejemplo: cuando se le preguntó: "¿En qué calle creciste?" Por lo general respondo con un GUID. Esto, por supuesto, requiere el uso de un administrador de contraseñas como LastPass y / o KeePass para realizar un seguimiento. Pero, la seguridad requiere esfuerzo. Además, las redes sociales son una mina de oro de preguntas y respuestas de seguridad. Entonces, tal vez las recomendaciones no tengan que cambiar ... todavía.
Lea otras preguntas en las etiquetas password-reset sms