Autenticación 2FA con código QR
¿Alguien puede confirmar si la siguiente solución es realmente 2FA?
El usuario debe instalar una aplicación móvil especial. Cuando la aplicación móvil se abre por primera vez, se le pide al usuario que asocie el dispositivo con la cuenta en el sistema.
En la pantalla de inicio de sesión web, se muestra el código QR. Un usuario abre la aplicación móvil previamente instalada y escanea el QR. Posteriormente, se verifica la huella digital del usuario utilizando la biometría del teléfono.
No tengo detalles técnicos sobre cómo se implementa. Quiero asegurarme de que se pueda considerar 2FA.
Respuestas
Aquí hay varias partes móviles y, sin duda, no tiene todos los detalles técnicos, pero parece ser 2FA en su cara, con una advertencia:
- La aplicación está asociada con la cuenta y el teléfono, lo que hace que el teléfono sea un factor (pero eso depende de cómo esté asociado el teléfono con la cuenta)
- El proceso de inicio de sesión requiere un escaneo biométrico de la huella digital, lo que hace que el dedo sea un factor
Este proceso no es diferente a una aplicación 2FA en un teléfono (Google Authenticator, LastPass Authenticator, Microsoft Authenticator, etc.) que requiere autenticación biométrica para abrirse y usa notificaciones push. En su caso, la notificación automática parece realizarse mediante un código QR.
Sin embargo , esta 2FA es bastante débil y sin contraseña. Dado que todos los factores relevantes están contenidos en el teléfono, esto hace que esto sea más una " Autenticación de factor 1.5 ". La aplicación del teléfono es el factor principal para la cuenta y la aplicación tiene su propio factor, la función biométrica controlada por el hardware del teléfono. Encadenarlos así no es una verdadera 2FA para la cuenta . Es más como dos procesos "1FA" encadenados en el mismo dispositivo. Esto es importante porque la pérdida del dispositivo por sí sola pone en peligro todo el esquema de protección; confía en la seguridad de las funciones del teléfono.
¿Podría considerarse "efectivamente 2FA"? Eso se podría argumentar. Para ser honesto, protegería mi opinión y me quedaría con la respuesta del "Factor 1.5". Sé que no es una respuesta clara, pero la línea a trazar dependerá de por qué necesitas saber si esto es 2FA o no.
La autenticación es multifactorial si utiliza al menos dos de los siguientes:
- "algo que sabe" (es decir, contraseña)
- "algo que tienes" (es decir, tarjeta inteligente)
- "algo que haces" (es decir, escribir, para que el aprendizaje automático pueda reconocerlo)
- "algo que eres" (es decir, tu huella digital)
- "en algún lugar donde estés" (es decir, geolocalización)
Entonces, en su caso, el código QR se usa para obtener el enlace de inicio de sesión. Como puede ver, no coincide con ninguno de los anteriores. Una vez que su usuario recibe el enlace, usa su huella digital, eso es "algo que usted es". Por lo tanto, podemos concluir que no es 2FA ya que solo usa un factor.
Sin embargo, si su QR se actualiza con regularidad y está vinculado a una sesión de usuario cifrada única, entonces es "algo que sabe". Porque para que alguien más lo supiera necesitaría robar la sesión de los usuarios.