Authentification 2FA avec code QR

Question

Quelqu'un peut-il confirmer si la solution suivante est réellement 2FA?

L'utilisateur doit installer une application mobile spéciale. Lorsque l'application mobile est ouverte pour la première fois, l'utilisateur est invité à associer l'appareil au compte dans le système.

Sur l'écran de connexion Web, le code QR s'affiche. Un utilisateur ouvre l'application mobile précédemment installée et scanne le QR. Ensuite, l'empreinte digitale de l'utilisateur est vérifiée à l'aide de la biométrie du téléphone.

Je n'ai pas de détails techniques sur la façon dont il est mis en œuvre. Je veux m'assurer qu'il peut être considéré comme 2FA.

Answer 1

Il y a plusieurs pièces mobiles ici et vous, certes, n'avez pas tous les détails techniques, mais cela semble être 2FA à première vue, avec une mise en garde:

• L'application est associée au compte et au téléphone, ce qui fait du téléphone un facteur (mais cela dépend de la façon dont le téléphone est associé au compte)
• Le processus de connexion nécessite une analyse biométrique de l'empreinte digitale, ce qui fait du doigt un facteur

Ce processus n'est pas sans rappeler une application 2FA sur un téléphone (Google Authenticator, LastPass Authenticator, Microsoft Authenticator, etc.) qui nécessite une authentification biométrique pour s'ouvrir et utilise des notifications push. Dans votre cas, la notification push semble être effectuée via le code QR.

Cependant , c'est un 2FA assez faible et sans mot de passe. Étant donné que tous les facteurs pertinents sont contenus dans le téléphone, cela en fait davantage une " authentification à 1,5 facteur ". L'application du téléphone est le principal facteur du compte et l'application a son propre facteur, la fonction biométrique contrôlée par le matériel du téléphone. Les enchaîner comme ça n'est pas le vrai 2FA pour le compte . C'est plus comme deux processus "1FA" enchaînés sur le même appareil. Cela est important car la perte de l'appareil à elle seule met en péril l'ensemble du système de protection; vous comptez sur la sécurité des fonctions du téléphone.

Pourrait-il être considéré comme "effectivement 2FA"? Cela pourrait être discuté. Pour être honnête, je couvrirais mon opinion et m'en tenir à la réponse "1.5 Factor". Je sais que ce n'est pas une réponse claire, mais la ligne à tracer dépendra de la raison pour laquelle vous devez savoir si c'est 2FA ou non.

Answer 2

L'authentification est multifactorielle si elle utilise au moins deux des éléments suivants:

• "quelque chose que vous savez" (c'est-à-dire mot de passe)
• "quelque chose que vous avez" (par exemple, une carte à puce)
• "quelque chose que vous faites" (c.-à-d. taper; pour que l'apprentissage automatique puisse le reconnaître)
• "quelque chose que vous êtes" (c'est-à-dire votre empreinte digitale)
• "quelque part où vous êtes" (c'est-à-dire géolocalisation)

Donc, dans votre cas, le code QR est utilisé pour obtenir le lien de connexion. Comme vous pouvez le voir, cela ne correspond à aucun des critères ci-dessus. Une fois que votre utilisateur reçoit le lien, il utilise son empreinte digitale, c'est "quelque chose que vous êtes". Par conséquent, nous pouvons conclure qu'il ne s'agit pas de 2FA car il n'utilise qu'un seul facteur.

Cependant, si votre QR est actualisé régulièrement et est lié à une session utilisateur cryptée unique, c'est "quelque chose que vous savez". Parce que pour que quelqu'un d'autre le sache, il lui faudrait voler la session des utilisateurs.