Autenticação 2FA com código QR
Alguém pode confirmar se a solução a seguir é realmente 2FA?
O usuário deve instalar um aplicativo móvel especial. Quando o aplicativo móvel é aberto pela primeira vez, o usuário é solicitado a associar o dispositivo à conta no sistema.
Na tela de login da web, o código QR é exibido. Um usuário abre o aplicativo móvel instalado anteriormente e verifica o QR. Depois disso, a impressão digital do usuário é verificada por meio da biometria do telefone.
Não tenho detalhes técnicos sobre como ele é implementado. Quero ter certeza de que pode ser considerado 2FA.
Respostas
Existem várias partes móveis aqui e você, reconhecidamente, não tem todos os detalhes técnicos, mas parece ser 2FA em sua face, com uma ressalva:
- O aplicativo é associado à conta e ao telefone, tornando o telefone um fator importante (mas isso depende de como o telefone está associado à conta)
- O processo de login requer uma varredura biométrica da impressão digital, tornando o dedo um fator
Este processo não é diferente de um aplicativo 2FA em um telefone (Google Authenticator, LastPass Authenticator, Microsoft Authenticator, etc.) que requer autenticação biométrica para abrir e usa notificações push. No seu caso, a notificação push parece ser feita via código QR.
No entanto , este é um 2FA muito fraco e sem senha. Como todos os fatores relevantes estão contidos no telefone, isso o torna mais como uma " Autenticação de fator 1,5 ". O aplicativo do telefone é o principal fator para a conta e o aplicativo tem seu próprio fator, a função biométrica controlada pelo hardware do telefone. Encadea-los assim não é um 2FA verdadeiro para a conta . É mais como dois processos "1FA" encadeados no mesmo dispositivo. Isso é importante porque apenas a perda do dispositivo coloca em risco todo o esquema de proteção; você está contando com a segurança das funções do telefone.
Poderia ser considerado "efetivamente 2FA"? Isso poderia ser discutido. Para ser honesto, eu protegeria minha opinião e continuaria com a resposta do "Fator 1.5". Eu sei que não é uma resposta clara, mas a linha a ser desenhada dependerá do motivo pelo qual você precisa saber se é 2FA ou não.
A autenticação é multifatorial se usar pelo menos dois dos seguintes:
- "algo que você conhece" (ou seja, senha)
- "algo que você tem" (ou seja, cartão inteligente)
- "algo que você faz" (ou seja, digitar; para que o aprendizado de máquina possa reconhecer isso)
- "algo que você é" (ou seja, sua impressão digital)
- "em algum lugar onde você está" (ou seja, geolocalização)
Portanto, no seu caso, o código QR é usado para obter o link de login. Como você pode ver, não corresponde a nenhuma das opções acima. Assim que o usuário receber o link, ele usará sua impressão digital, ou seja, "algo que você é". Portanto, podemos concluir que não é 2FA, pois usa apenas um fator.
No entanto, se o seu QR é atualizado regularmente e está vinculado a uma sessão de usuário criptografada exclusiva, então é "algo que você conhece". Porque para outra pessoa saber, ele precisaria roubar a sessão do usuário.