Diskuze k tyhle zpravicce me bavi, ale neni myslenkou 2FA, ze neni mozny token pouzit znovu? Co kdyz fotku ukradnu, odposlechnu, vyfotosopuju a znova pouziju? Nebo si udelam do zasoby 100 ruznejch fotek ty veci bez vedomi majitele? Pointa vsech tech krypto tokenu, sms a podobnejch veci je, ze se nepouziva 2x stejny retezec. Neni tak mozny mit kopii tokenu bez toho, aby si toho majitel vsiml.
Ne, myšlenkou dvoufaktorové autentizace je to, že se pro autentizaci používají dva různé faktory. To, že přihlašovací klíč není možné použít znova, je vlastností jednorázových hesel. Jako druhý faktor se dnes často používají jednorázová hesla, ale není to podmínkou.
Jak je to zabezpečené proti opakovanému použití stejné fotky by mne taky zajímalo, na první pohled jsem to v článku mezi vektory útoku, se kterými se nějak vypořádávají, nenašel. Přitom mi to připadá jako ten nejpravděpodobnější způsob útoku – útočník prostě získá stejnou fotku. Ani ji nemusí nijak upravovat.
Hm… No, třeba jako náhražka „oblíbené“ kontrolní otázky pro reset hesla, tedy vyjímečné dodatečné ověření by to asi fajn bylo… Osobně mi jako dostatečný dvoufaktor připadá momentálně populární popup notifikace od ověřující aplikace kombinovaná s šifrovaným zamykaným telefonem. A to je pohodlnější určitě :)
Pokud je ten šifrovaný zamykací telefon na Androidu, tak hrozí výrazné nebezpečí, že šifrování ani zamykání nebude mít předpokládaný efekt, a útočník pomocí toho telefonu získá vzdáleně minimálně jedno heslo. To zda získá i druhé heslo záleží hlavně na tom kam směřuje objektiv telefonu, a do jisté míry pak i na kvalitě osvětlení :). Naštěstí je tu ale možnost upgradovat na bezpečnější HW. Oproti telefonu s Androidem přináší linkované zařízení bezpečnostní výhodu v tom, že útočník nemůže získat heslo vzdáleně, tedy bez fyzického přístupu k zařízení. Pět z pěti Chief Information Security Officers považuje toto zařízení výrazně bezpečnější alternativu, než telefon s Androidem.
https://goo.gl/GgNmRh
Obecně je myšlenkou 2FA jen ověření dvěma cestama. Ta druhá cesta může být i vlastnictví věci (biometrický údaj, yubikey, generátor jednorázových kódů a teď i předmět)
Tohle zní jako celkem bezpečný způsob, jen je potřeba fotit trinket pokud možno bez publika (což trochu kazí srandu z focení dilda na veřejnosti :( )