Autenticazione 2FA con codice QR

Question

Qualcuno può confermare se la seguente soluzione è effettivamente 2FA?

L'utente deve installare un'app mobile speciale. Quando l'app mobile viene aperta per la prima volta, all'utente viene chiesto di associare il dispositivo all'account nel sistema.

Nella schermata di accesso al Web, viene visualizzato il codice QR. Un utente apre l'app mobile installata in precedenza ed esegue la scansione del QR. Successivamente, l'impronta digitale dell'utente viene controllata utilizzando la biometria del telefono.

Non ho dettagli tecnici su come viene implementato. Voglio essere sicuro che possa essere considerato 2FA.

Answer 1

Ci sono diverse parti mobili qui e tu, ammettiamolo, non hai tutti i dettagli tecnici, ma sembra essere 2FA sulla sua faccia, con un avvertimento:

• L'app è associata all'account e al telefono, rendendo il telefono un fattore (ma dipende da come il telefono è associato all'account)
• Il processo di accesso richiede una scansione biometrica dell'impronta digitale, rendendo il dito un fattore

Questo processo non è diverso da un'app 2FA su un telefono (Google Authenticator, LastPass Authenticator, Microsoft Authenticator, ecc.) Che richiede l'autenticazione biometrica per aprirsi e utilizza le notifiche push. Nel tuo caso, la notifica push sembra essere eseguita tramite codice QR.

Tuttavia , questo è abbastanza debole, 2FA senza password. Poiché tutti i fattori rilevanti sono contenuti all'interno del telefono, ciò rende questa più una " autenticazione a 1,5 fattori ". L'app del telefono è il fattore principale per l'account e l'app ha il suo fattore, la funzione biometrica controllata dall'hardware del telefono. Incatenarli in questo modo non è vero 2FA per l'account . È più simile a due processi "1FA" concatenati insieme sullo stesso dispositivo. Questo è importante perché la sola perdita del dispositivo mette a repentaglio l'intero schema di protezione; ti affidi alla sicurezza delle funzioni del telefono.

Potrebbe essere considerato "effettivamente 2FA"? Questo potrebbe essere sostenuto. Ad essere onesto, difenderei la mia opinione e mi atterrei alla risposta "1.5 Factor". So che non è una risposta chiara, ma la linea da tracciare dipenderà dal motivo per cui è necessario sapere se si tratta di 2FA o meno.

Answer 2

L'autenticazione è multifattoriale se utilizza almeno due dei seguenti:

• "qualcosa che conosci" (es. password)
• "qualcosa che hai" (es. smart card)
• "qualcosa che fai" (cioè digitando; in modo che l'apprendimento automatico possa riconoscerlo)
• "qualcosa che sei" (cioè la tua impronta digitale)
• "da qualche parte ti trovi" (es. geolocalizzazione)

Quindi nel tuo caso, il codice QR viene utilizzato per ottenere il link di accesso. Come puoi vedere non corrisponde a nessuno dei precedenti. Una volta che l'utente riceve il collegamento, usa la sua impronta digitale, che è "qualcosa che sei". Pertanto, possiamo concludere che non è 2FA poiché utilizza solo un fattore.

Tuttavia, se il tuo QR viene aggiornato regolarmente ed è associato a una sessione utente crittografata univoca, è "qualcosa che conosci". Perché perché qualcun altro lo sappia, avrebbe bisogno di rubare la sessione degli utenti.