2FA-Authentifizierung mit QR-Code

Question

Kann jemand bestätigen, ob die folgende Lösung tatsächlich 2FA ist?

Der Benutzer muss eine spezielle mobile App installieren. Wenn die mobile App zum ersten Mal geöffnet wird, wird der Benutzer aufgefordert, das Gerät dem Konto im System zuzuordnen.

Auf dem Webanmeldebildschirm wird der QR-Code angezeigt. Ein Benutzer öffnet die zuvor installierte mobile App und scannt den QR. Anschließend wird der Fingerabdruck des Benutzers mithilfe der Biometrie des Telefons überprüft.

Ich habe keine technischen Details zur Implementierung. Ich möchte sicherstellen, dass es als 2FA betrachtet werden kann.

Answer 1

Es gibt mehrere bewegliche Teile hier und man zugegebenermaßen nicht über alle technischen Details, aber es erscheint 2FA auf seinem Gesicht zu sein, mit einem Vorbehalt:

• Die App ist mit dem Konto und dem Telefon verknüpft, was das Telefon zu einem Faktor macht (dies hängt jedoch davon ab, wie das Telefon mit dem Konto verknüpft ist).
• Der Anmeldevorgang erfordert einen biometrischen Scan des Fingerabdrucks, wodurch der Finger zu einem Faktor wird

Dieser Vorgang ähnelt einer 2FA-App auf einem Telefon (Google Authenticator, LastPass Authenticator, Microsoft Authenticator usw.), für deren Öffnen eine biometrische Authentifizierung erforderlich ist und die Push-Benachrichtigungen verwendet. In Ihrem Fall scheint die Push-Benachrichtigung über den QR-Code zu erfolgen.

Dies ist jedoch ziemlich schwach, passwortloses 2FA. Da alle relevanten Faktoren im Telefon enthalten sind, handelt es sich eher um eine " 1,5-Faktor-Authentifizierung ". Die App des Telefons ist der Hauptfaktor für das Konto, und die App verfügt über einen eigenen Faktor, die biometrische Funktion, die von der Hardware des Telefons gesteuert wird. Eine solche Verkettung ist für das Konto nicht wahr. Es ist eher wie zwei "1FA" -Prozesse, die auf demselben Gerät miteinander verkettet sind. Dies ist wichtig, da allein der Verlust des Geräts das gesamte Schutzsystem gefährdet. Sie verlassen sich auf die Sicherheit der Funktionen des Telefons.

Könnte es als "effektiv 2FA" angesehen werden? Das könnte argumentiert werden. Um ehrlich zu sein, würde ich meine Meinung absichern und mich an die Antwort "1,5 Faktor" halten. Ich weiß, dass es keine klare Antwort ist, aber die zu ziehende Linie hängt davon ab, warum Sie wissen müssen, ob dies 2FA ist oder nicht.

Answer 2

Die Authentifizierung ist ein Multi-Faktor, wenn mindestens zwei der folgenden Optionen verwendet werden:

• "etwas was du weißt" (dh Passwort)
• "etwas was du hast" (dh Smartcard)
• "etwas, was du tust" (dh tippen; damit maschinelles Lernen das erkennen kann)
• "etwas was du bist" (dh dein Fingerabdruck)
• "irgendwo bist du" (dh Geolokalisierung)

In Ihrem Fall wird der QR-Code verwendet, um den Anmeldelink zu erhalten. Wie Sie sehen können, stimmt es mit keinem der oben genannten Punkte überein. Sobald Ihr Benutzer den Link erhalten hat, verwendet er seinen Fingerabdruck, das ist "etwas, was Sie sind". Wir können daher den Schluss ziehen, dass es sich nicht um 2FA handelt, da nur ein Faktor verwendet wird.

Wenn Ihr QR jedoch regelmäßig aktualisiert wird und an eine eindeutige verschlüsselte Benutzersitzung gebunden ist, ist dies "etwas, das Sie wissen". Denn damit jemand anderes es weiß, müsste er die Benutzersitzung stehlen.