ソフトウェア トークンは多要素セキュリティの有効な 2 番目の要素ですか?

Question

私の職場ではリモート ログインのセキュリティ プロセスを変更していますが、新しいシステムでは 多要素認証 古いものがそうであったように。(以前は RSA キーフォブを使用していましたが、コストの関係で置き換えられています。) 新しいシステムは、二要素認証システムであると誤解されているフィッシング対策画像システムです。私たちは現在、ユーザーにハードウェアデバイスを発行せずに多要素セキュリティを提供し続ける方法を模索しています。

多要素認証システムの真の第 2 要素を構成する、ユーザーの PC にインストールされるソフトウェア ベースのトークン システムを作成することは可能ですか?これは「ユーザーが持っているもの」とみなされるのでしょうか、それとも単に「ユーザーが知っているもの」の別の形でしょうか?

編集： フリークレ クッキーについて良い指摘をしています。この質問では、Cookie は十分に安全ではないため除外されたと仮定します。

Answer 1

私は「ノー」と言うでしょう。エンドユーザーが持ち運べるものを発行しない限り、多要素認証の「自分が持っているもの」の部分を実際に取得することはできないと思います。何かを「持っている」ということは、それが失われる可能性があることを意味します。デスクトップ マシン全体を失うユーザーは多くありません。結局のところ、「自分が持っているもの」の安全性は次のようなことから生まれます。

• それを持っていないときに気づくでしょう - セキュリティが侵害されたことを明確に示しています
• 1人だけが持つことができます。つまり、あなたがそうしても、他の人はそうではありません

ソフトウェア トークンは同じ保証を提供しません。良心的に、これをユーザーが「所有している」ものとして分類することはできません。

Answer 2

これが「有効な」第 2 要素であるかどうかはわかりませんが、多くの Web サイトがしばらくの間このタイプのプロセスを使用してきました。クッキー。ほとんど安全ではありませんが、それはあなたが説明している種類のアイテムです。

「ユーザーが持っているもの」と「ユーザーが知っているもの」に関して、それがユーザーの PC に常駐するもの（バックグラウンド アプリのような、要求されたときに情報を提供するが、ユーザーが何もする必要がないもの）であれば、次の場所にファイルします。 「ユーザーが持っているもの」。ユーザーが何らかのフィールドにパスワードを入力し、次に別のパスワードを入力して、PC に保存されている情報のロックを解除している場合、それは「ユーザーが知っていること」になります。

すでに存在する商用ソリューションに関しては、次のとおりです。BigFix という Windows 用の製品を使用しています。これは主にリモート構成およびコンプライアンス製品ですが、リモート/VPN 状況に対応する多要素システムの一部として機能するモジュールも用意しています。

Answer 3

ソフトウェア トークンは 2 番目の要素ですが、おそらく RSA Fob ほど良い選択肢ではありません。ユーザーのコンピュータが侵害された場合、攻撃者は盗まれた痕跡を残さずにソフトウェア トークンを黙ってコピーする可能性があります (RSA フォブとは異なり、フォブ自体を持ち出さなければならないため、ユーザーはトークンが紛失していることに気づく機会があります)。

Answer 4

画像はユーザーの多要素認証の一部ではないという @freespace の意見に同意します。あなたが述べたように、画像はフィッシング対策計画の一部です。実際にはユーザーに対するシステムの認証が弱いイメージだと思います。この画像は、Web サイトが有効であり、偽のフィッシング サイトではないことをユーザーに認証します。

多要素認証システムの真の第 2 要素を構成する、ユーザーの PC にインストールされるソフトウェア ベースのトークン システムを作成することは可能ですか?

ソフトウェア ベースのトークン システムについては、Kerberos プロトコルを調査する必要があるように思えますが、 http://en.wikipedia.org/wiki/Kerberos_(プロトコル). 。ただし、これが多要素認証としてカウントされるかどうかはわかりません。

Answer 5

あなたが説明しているのは、 コンピューター ユーザーではなく、持っています。したがって、おそらく (実装によっては) それがコンピュータであることは保証されますが、ユーザーについては保証されません...

さて、リモート ログインについて話しているので、状況はおそらく個人のラップトップでしょうか?その場合、 ラップトップ はあなたが持っているもので、もちろんそのパスワードもあなたが知っているものです...あとは安全な実装だけで、問題なく動作します。

Answer 6

セキュリティは常にトレードオフの関係にあります。ハードウェア トークンは盗むのが難しいかもしれませんが、ネットワーク ベースの MITM 攻撃に対する保護はありません。これが Web ベースのソリューションである場合 (画像ベースのシステムの 1 つを使用しているため、そうであると思います)、相互 https 認証を提供するものを検討する必要があります。そうすれば、多数の DNS 攻撃や Wi-Fi ベースの攻撃から保護されます。

詳細については、こちらをご覧ください。http://www.wikidsystems.com/learn-more/technology/mutual_authenticationそしてhttp://en.wikipedia.org/wiki/Mutual_authenticationフィッシングを防ぐための相互認証の設定に関するチュートリアルは次のとおりです。http://www.howtoforge.net/prevent_phishing_with_mutual_authentication.

画像ベースのシステムは相互認証として宣伝されており、おそらくその通りだと思いますが、暗号プリンシパルに基づいていないため、非常に弱いです。MITM も画像を表示しないようにするにはどうすればよいでしょうか?ユーザーフレンドリーな IMO にも劣ります。