Por qué la autenticación de dos factores no siempre garantiza la protección

Entonces, ¿cuál es la autenticación con dos factores? La definición de autenticación con dos factores o 2FA es un método para identificar a un usuario en un servicio en el que se utilizan dos tipos diferentes de datos de autenticación. La introducción de un nivel adicional de seguridad proporciona una protección más efectiva de su cuenta contra el acceso no autorizado. Este artículo lo ayudará a comprender qué tan segura es la autenticación de dos factores. Cuando este enfoque se utiliza hoy, una gran cantidad de empresas confían en dos pasos. Por ejemplo, si desea utilizar el servicio de escritura de Ukesay, se le preguntará y aprobará este procedimiento cuando se conecta a su cuenta. También hay organizaciones tecnológicas, financieras y de seguros que dependen de dos factores para mantener seguros a los clientes de la información.
La autenticación dual requiere que el usuario tenga dos o tres tipos de datos de identificación. Aquí están estos tipos:
Algo que él sabe;
Algo que tiene a su disposición;
Algo inherente a él (biometría);
Obviamente, el primer artículo incluye diferentes contraseñas, códigos PIN, frases secretas, etc., lo que el usuario recuerda e introduce en el sistema. El segundo artículo es un token, es decir, un dispositivo compacto que es propiedad del usuario. Los chips más simples no requieren una conexión física a la computadora: tienen una pantalla, que muestra el número que el usuario escribe en el sistema para realizar una entrada. Los más complejos están conectados a computadoras USB e interfaces Bluetooth.
Hoy, los teléfonos inteligentes se pueden usar como símbolos, porque se han convertido en una parte integral de nuestras vidas. En este caso, la llamada contraseña única se genera con una aplicación especial (por ejemplo, Google Authenticator) o viene por SMS, este es el más simple y fácil de usar el método que algunos expertos consideran menos confiables. Ejemplos de autenticación con dos factores y multifactor El método de autenticación por SMS se basa en el uso de una contraseña única. La ventaja de este enfoque, en comparación con una contraseña permanente, es que esta contraseña no se puede reutilizar. Incluso si suponemos que un atacante podría interceptar datos en el proceso de intercambio de información, no puede usar la contraseña robada para obtener acceso al sistema. Sin embargo, este no es un factor completamente seguro. Además, se puede dar un ejemplo, implementarse con el uso de dispositivos biométricos y métodos de autenticación. Este es el uso de un escáner de huellas digitales, que está disponible en varios modelos de cuadernos. Al ingresar al sistema, el usuario debe estar sujeto a un procedimiento de escaneo de dedos, luego confirmar el derecho de acceso con una contraseña. La autenticación exitosa le dará el derecho de usar los datos locales de una computadora en particular. Del mismo modo, se pueden usar otros autentificadores biométricos:
huellas digitales;
geometría de la mano;
los contornos y dimensiones de la cara;
las características de la voz;
el modelo del iris y la retina de los ojos;
dibujando las venas de los dedos;
Por supuesto, se utilizan equipos y software apropiados, y el costo de compra y soporte a veces puede diferir.
El problema de la seguridad que debe conocer (el caso de los datos biométricos), sin embargo, vale la pena entender que hay algunos problemas con dos factores. Los autenticadores biométricos no son absolutamente precisos. Las huellas digitales de un dedo pueden tener diferencias bajo la influencia del entorno externo, el estado fisiológico del cuerpo humano, etc. Para la confirmación exitosa de este autenticador, la correspondencia incompleta del estándar de impresión es suficiente. Los métodos de autenticación biométrica contienen una definición del grado de probabilidad de que un autentificador válido coincidirá con uno estándar. Con respecto a la autenticación biométrica y el acceso remoto a los sistemas de información, en la actualidad, las tecnologías modernas no tienen la capacidad de transmitir datos confiables a través de canales sin protección, una huella digital o el resultado del escaneo retiniano.
¿Qué pasa con el proceso de verificación SMS? Las desventajas de este método son mucho más significativas que los méritos y no están relacionadas con el algoritmo de verificación, sino con el número de teléfono. Un teléfono inteligente perdido puede ser una razón para piratear un sistema de banca por Internet o un buzón; después de todo, un atacante tiene todas las herramientas para hacerlo. Además, después de obtener el control sobre el número, es posible que ni siquiera busque una contraseña, sino que simplemente use la función de recuperación por SMS. Los intrusos serios pueden incluso “clonar” el número, y el usuario honesto ni siquiera sospechará. Las consecuencias de esto son obvias.

Las contraseñas de SMS se reconocen como inseguros del Instituto Nacional de Normas y Tecnología, NIST, introducido en el verano de 2016 una versión preliminar de la futura Guía de autenticación digital. Es un documento que establece nuevos estándares y reglas para los métodos de autenticación digital. El mecanismo SMS OTP no se ha concebido originalmente para la autenticación y no puede considerarse una autenticación completa. La principal preocupación de los expertos es que el número de teléfono puede estar relacionado con un servicio VoIP. Además, los atacantes pueden tratar de convencer al proveedor de servicios de que el número de teléfono ha cambiado y tales trucos deben ser imposibles. No es solo el riesgo de perder acceso a las cuentas, sino también la desventaja ordinaria. Por ejemplo, cuando viaja al extranjero, puede olvidar conectar el roaming (o no habrá tal opción en un determinado país), lo que conducirá a la imposibilidad de utilizar los servicios de pago necesarios. Otra desventaja es registrarse con un número de teléfono, existe la posibilidad de que ingrese a la base de datos de spam, después de lo cual el usuario perturbará llamadas o mensajes publicitarios obsesivos. ¿Cuál es la salida para que la autenticación sea realmente confiable, no el número de características? Si la base de datos de huellas digitales se almacena en papel en un armario, entonces la autenticación biométrica será incómoda e incierta: la hoja requerida simplemente se puede eliminar.