Um token de software é um segundo fator válido na segurança multifatorial?

Question

Estamos mudando nosso processo de segurança de login remoto no meu local de trabalho e estamos preocupados com o fato de o novo sistema não usar autenticação multifator como fez o antigo.(Estávamos usando porta-chaves RSA, mas eles estão sendo substituídos devido ao custo.) O novo sistema é um sistema de imagem anti-phishing que foi mal interpretado como um sistema de autenticação de dois fatores.Agora estamos explorando maneiras de continuar fornecendo segurança multifatorial sem fornecer dispositivos de hardware aos usuários.

É possível escrever um sistema de token baseado em software para ser instalado nos PCs do usuário que constituiria um verdadeiro segundo fator em um sistema de autenticação multifator?Isso seria considerado “algo que o usuário possui” ou seria simplesmente outra forma de “algo que o usuário conhece”?

Editar: phreakre faz uma boa observação sobre cookies.Para responder a esta questão, suponha que os cookies foram descartados porque não são seguros o suficiente.

Answer 1

Eu diria “não”.Não acho que você possa realmente obter a parte "algo que você tem" da autenticação multifator sem emitir algo que o usuário final possa carregar consigo.Se você “tem” algo, isso significa que ele pode ser perdido – poucos usuários perdem suas máquinas desktop inteiras.Afinal, a segurança de “algo que você tem” vem do seguinte:

• você notaria quando não o tivesse - uma indicação clara de que a segurança foi comprometida
• apenas 1 pessoa pode ficar com ele.Então, se você fizer isso, outra pessoa não

Os tokens de software não oferecem as mesmas garantias e, em sã consciência, eu não os classificaria como algo que o usuário "possui".

Answer 2

Embora não tenha certeza se é um segundo fator "válido", muitos sites já usam esse tipo de processo há algum tempo:biscoitos.Dificilmente seguro, mas é o tipo de item que você está descrevendo.

No que diz respeito a "algo que o usuário tem" versus "algo que o usuário sabe", se for algo residente no PC do usuário [como um aplicativo em segundo plano que fornece informações quando solicitado, mas não exige que o usuário faça nada], eu arquivaria em "coisas que o usuário tem".Se eles estiverem digitando uma senha em algum campo e depois digitando outra senha para desbloquear as informações que você está armazenando no PC, então é "algo que o usuário sabe".

No que diz respeito às soluções comerciais já existentes:Usamos um produto para Windows chamado BigFix.Embora seja principalmente um produto de configuração e conformidade remota, temos um módulo para ele que funciona como parte de nosso sistema multifatorial para situações remotas/VPN.

Answer 3

Um token de software é um segundo fator, mas provavelmente não é uma escolha tão boa quanto um RSA fob.Se o computador do usuário estiver comprometido, o invasor poderá copiar silenciosamente o token de software sem deixar rastros de roubo (ao contrário de um controle remoto RSA, onde eles teriam que levar o próprio controle remoto, para que o usuário tenha a chance de perceber que ele está faltando).

Answer 4

Concordo com @freespace que a imagem não faz parte da autenticação multifator do usuário.Como você afirma, a imagem faz parte do esquema anti-phishing.Acho que a imagem é na verdade uma autenticação fraca do sistema para o usuário.A imagem fornece autenticação ao usuário de que o site é válido e não um site de phishing falso.

É possível escrever um sistema de token baseado em software para ser instalado nos PCs do usuário que constituiria um verdadeiro segundo fator em um sistema de autenticação multifator?

O sistema de token baseado em software parece que você pode querer investigar o protocolo Kerberos, http://en.wikipedia.org/wiki/Kerberos_(protocolo).Não tenho certeza se isso contaria como uma autenticação multifator.

Answer 5

O que você está descrevendo é algo que computador tem, não o usuário.Então você pode supostamente (dependendo da implementação) ter certeza de que é o computador, mas nenhuma garantia em relação ao usuário...

Agora, já que estamos falando de login remoto, talvez a situação seja em laptops pessoais?Nesse caso, o laptop é algo que você tem e, claro, a senha para isso como algo que você conhece...Então tudo o que resta é uma implementação segura, e isso pode funcionar bem.

Answer 6

A segurança é sempre uma questão de compensações.Os tokens de hardware podem ser mais difíceis de roubar, mas não oferecem proteção contra ataques MITM baseados em rede.Se esta for uma solução baseada na Web (presumo que seja, já que você está usando um dos sistemas baseados em imagem), considere algo que ofereça autenticação https mútua.Então você obtém proteção contra vários ataques de DNS e ataques baseados em wi-fi.

Você pode encontrar mais aqui:http://www.wikidsystems.com/learn-more/technology/mutual_authenticationehttp://en.wikipedia.org/wiki/Mutual_authenticatione aqui está um tutorial sobre como configurar a autenticação mútua para evitar phishing:http://www.howtoforge.net/prevent_phishing_with_mutual_authentication.

O sistema baseado em imagem é apresentado como autenticação mútua, o que eu acho que é, mas como não é baseado em princípios criptográficos, é bastante fraco.O que impede um MITM de apresentar a imagem também?É menos que IMO fácil de usar também.