QR 코드로 2FA 인증
다음 솔루션이 실제로 2FA인지 누군가 확인할 수 있습니까?
사용자는 특별한 모바일 앱을 설치해야합니다. 모바일 앱을 처음 열면 사용자에게 장치를 시스템의 계정과 연결하라는 메시지가 표시됩니다.
웹 로그인 화면에 QR 코드가 표시됩니다. 사용자가 이전에 설치된 모바일 앱을 열고 QR을 스캔합니다. 이후 사용자의 지문은 휴대폰의 생체 인식을 사용하여 확인됩니다.
구현 방법에 대한 기술 세부 정보가 없습니다. 2FA로 간주 될 수 있는지 확인하고 싶습니다.
답변
여기에는 몇 가지 움직이는 부분이 있으며 모든 기술 세부 정보를 가지고 있지는 않지만 얼굴에 2FA 인 것처럼 보이며 주의해야합니다.
- 앱은 계정 및 전화와 연결되어 전화를 요인으로 만듭니다 (하지만 전화가 계정과 연결되는 방식에 따라 다름).
- 로그인 프로세스에는 지문의 생체 인식 스캔이 필요하므로 손가락이 중요한 요소가됩니다.
이 프로세스는 푸시 알림을 열고 사용하기 위해 생체 인식 인증이 필요한 휴대폰 (Google Authenticator, LastPass Authenticator, Microsoft Authenticator 등)의 2FA 앱과 다르지 않습니다. 귀하의 경우 푸시 알림은 QR 코드를 통해 수행되는 것으로 보입니다.
그러나 이것은 매우 약하고 암호가없는 2FA입니다. 모든 관련 요소가 전화기에 포함되어 있으므로 " 1.5 요소 인증 "에 가깝습니다 . 휴대폰의 앱은 계정의 기본 요소이며 앱에는 휴대폰의 하드웨어에 의해 제어되는 생체 인식 기능인 자체 요소가 있습니다. 이와 같이 연결하는 것은 계정에 대한 진정한 2FA가 아닙니다. 동일한 장치에서 함께 연결된 두 개의 "1FA"프로세스와 비슷합니다. 이것은 장치의 손실만으로 전체 보호 체계가 위험에 처하기 때문에 중요합니다. 전화기 기능의 보안에 의존하고 있습니다.
"효과적으로 2FA"로 간주 될 수 있습니까? 그것은 논쟁의 여지가 있습니다. 솔직히 말해서 나는 내 의견을 헤지하고 "1.5 요인"대답을 고수 할 것입니다. 명확한 대답이 아니라는 것을 알고 있지만 그려야 할 선은 이것이 2FA인지 여부를 알아야하는 이유에 따라 달라집니다.
다음 중 두 가지 이상을 사용하는 경우 인증은 다단계입니다.
- "알고있는 것"(예 : 암호)
- "당신이 가지고있는 것"(예 : 스마트 카드)
- "당신이하는 일"(즉, 기계 학습이 그것을 인식 할 수 있도록 타이핑)
- "당신이있는 것"(예 : 지문)
- "어딘가에"(예 : 지리적 위치)
따라서 귀하의 경우 QR 코드는 로그인 링크를 얻는 데 사용됩니다. 보시다시피 위의 어느 것과도 일치하지 않습니다. 사용자가 링크를 받으면 사용자는 자신의 지문, 즉 "당신의 존재"를 사용합니다. 따라서 하나의 요소 만 사용하므로 2FA가 아니라는 결론을 내릴 수 있습니다.
그러나 QR이 정기적으로 새로 고쳐지고 고유 한 암호화 된 사용자 세션에 연결되어 있으면 "당신이 알고있는 것"입니다. 다른 누군가가 그것을 알기 위해서는 사용자 세션을 훔쳐 야 할 필요가 있기 때문입니다.