Vlákno názorů k článku
Dvoufaktorová autentizace pomocí fotografie osobního předmětu
od Harvie.CZ - Diskuze k tyhle zpravicce me bavi, ale neni...
-
Harvie.CZ (neregistrovaný)
Diskuze k tyhle zpravicce me bavi, ale neni myslenkou 2FA, ze neni mozny token pouzit znovu? Co kdyz fotku ukradnu, odposlechnu, vyfotosopuju a znova pouziju? Nebo si udelam do zasoby 100 ruznejch fotek ty veci bez vedomi majitele? Pointa vsech tech krypto tokenu, sms a podobnejch veci je, ze se nepouziva 2x stejny retezec. Neni tak mozny mit kopii tokenu bez toho, aby si toho majitel vsiml.
-
Filip JirsákStříbrný podporovatelNe, myšlenkou dvoufaktorové autentizace je to, že se pro autentizaci používají dva různé faktory. To, že přihlašovací klíč není možné použít znova, je vlastností jednorázových hesel. Jako druhý faktor se dnes často používají jednorázová hesla, ale není to podmínkou.
Jak je to zabezpečené proti opakovanému použití stejné fotky by mne taky zajímalo, na první pohled jsem to v článku mezi vektory útoku, se kterými se nějak vypořádávají, nenašel. Přitom mi to připadá jako ten nejpravděpodobnější způsob útoku – útočník prostě získá stejnou fotku. Ani ji nemusí nijak upravovat.
-
KateStříbrný podporovatelFotka tam snad nikde nefiguruje, resp. neukládá se při autentifikaci, ne? Spíš bych se bála toho, že útočník okouká co fotím a pořídí si to samé / nenápadně to v nestřeženou chvíli vyfotí. Což se dá řešit asi jen přihlašováním v soukromí.
-
KateStříbrný podporovatel
To pořád může potají vyfotit :D Spíš je asi ideální použít něco nenápadného. Třeba by mi mohl j nechat udělat jedno podle sebe… Tím svým stylem diskuze si beztak kompenzuje malý trinket :P
-
Filip JirsákStříbrný podporovatel
Ta správná aplikace snad fotku neukládá a po vyfocení jí rovnou odešle. Ale když už mám správnou aplikaci, tak můžu ověřit otisk prstu nebo PIN, a pro uživatele je to pohodlnější. A většinou nebude problém přesvědčit uživatele, že ten předmět má vyfotit jinou aplikací.
-
KateStříbrný podporovatel
Hm… No, třeba jako náhražka „oblíbené“ kontrolní otázky pro reset hesla, tedy vyjímečné dodatečné ověření by to asi fajn bylo… Osobně mi jako dostatečný dvoufaktor připadá momentálně populární popup notifikace od ověřující aplikace kombinovaná s šifrovaným zamykaným telefonem. A to je pohodlnější určitě :)
-
Pokud je ten šifrovaný zamykací telefon na Androidu, tak hrozí výrazné nebezpečí, že šifrování ani zamykání nebude mít předpokládaný efekt, a útočník pomocí toho telefonu získá vzdáleně minimálně jedno heslo. To zda získá i druhé heslo záleží hlavně na tom kam směřuje objektiv telefonu, a do jisté míry pak i na kvalitě osvětlení :). Naštěstí je tu ale možnost upgradovat na bezpečnější HW. Oproti telefonu s Androidem přináší linkované zařízení bezpečnostní výhodu v tom, že útočník nemůže získat heslo vzdáleně, tedy bez fyzického přístupu k zařízení. Pět z pěti Chief Information Security Officers považuje toto zařízení výrazně bezpečnější alternativu, než telefon s Androidem.
https://goo.gl/GgNmRh -
KateStříbrný podporovatel
Obecně je myšlenkou 2FA jen ověření dvěma cestama. Ta druhá cesta může být i vlastnictví věci (biometrický údaj, yubikey, generátor jednorázových kódů a teď i předmět)
Tohle zní jako celkem bezpečný způsob, jen je potřeba fotit trinket pokud možno bez publika (což trochu kazí srandu z focení dilda na veřejnosti :( )
