ทำไมไม่เพิ่ม TOTP 2FA แบบธรรมดา?
ในคำถามนี้และคำถามนี้คำขอคุณลักษณะที่จะใช้การรับรองความถูกต้องสองปัจจัยถูกปฏิเสธ
คำตอบนี้เสนอให้ใช้การเข้าสู่ระบบ Google หรือ Facebook สำหรับ 2FA แต่คำถามนี้พิสูจน์แล้วว่าบางครั้งการเข้าสู่ระบบ Google อาจล้มเหลวเนื่องจากปัญหาในส่วนท้ายของ Google นอกจากนี้วิธีการตรวจสอบสิทธิ์ของบุคคลที่สามที่มีอยู่ก่อนหน้านี้เช่นYahoo! เข้าสู่ระบบกลายเป็นหยุด สิ่งนี้อาจเกิดขึ้นกับวิธีการปัจจุบันด้วย
ด้วยเหตุนี้ผู้ใช้โดยเฉพาะผู้ดูแลจึงไม่สามารถลบข้อมูลเข้าสู่ระบบด้วยอีเมลและรหัสผ่านและใช้เฉพาะการเข้าสู่ระบบ Google เพื่อหลีกเลี่ยงการถูกล็อกไม่ให้เข้าใช้บัญชี ในทางกลับกันการเข้าสู่ระบบด้วยอีเมลและรหัสผ่านไม่ปลอดภัยเพียงพอหากไม่มีการตรวจสอบสิทธิ์สองปัจจัย
ฉันขอแนะนำให้ Stack Exchange ใช้การรับรองความถูกต้องด้วยสองปัจจัย TOTPแบบธรรมดาที่เป็นตัวเลือก
จะเป็นทางเลือกในแง่ที่ผู้ใช้สามารถเปิดหรือปิดได้ด้วยตนเองในเมนูและโดยค่าเริ่มต้นควรปิด สิ่งนี้จะไม่รบกวนผู้ใช้ที่มีอยู่และจะไม่ทำให้การสมัครใหม่ยุ่งยาก ตามความสะดวกผู้ใช้สามารถไปที่เมนูและเปิดหรือปิดได้
TOTP แบบธรรมดาไม่ต้องจัดเก็บหมายเลขโทรศัพท์และส่ง SMS ต้องใช้เฉพาะการจัดเก็บคีย์ลับที่แชร์ธรรมดาซึ่งผู้ใช้ป้อนลงในแอปด้วยตนเองเช่น Google Authenticator หรือ Microsoft Authenticator หรือ Authy หรือ Duo Mobile
จะเกิดอะไรขึ้นหากผู้ใช้ลืมรหัสผ่านและ / หรือทำอุปกรณ์หาย
ในกรณีนี้สามารถใช้วิธีรีเซ็ตรหัสผ่านทางอีเมลที่มีอยู่ได้ซึ่งควรเพิกถอน TOTP 2FA โดยอัตโนมัติ ดังนั้นหลังจากรีเซ็ตรหัสผ่านผู้ใช้ต้องตั้งค่า TOTP 2FA อีกครั้งหากต้องการ
จากมุมมองทางเทคนิคฉันคิดว่ารหัสผ่านอาจถูกจัดเก็บเป็นสตริงที่แฮช นอกจากนี้ Stack Exchange จำเป็นต้องจัดเก็บคีย์ลับที่แชร์นี้ด้วยการเข้ารหัสและตรวจสอบให้แน่ใจว่าไม่มีการเปิดเผยกับบุคคลที่ไม่ได้รับอนุญาต เซิร์ฟเวอร์ Stack Exchange จำเป็นต้องซิงโครไนซ์เวลาอย่างสม่ำเสมอ ไม่จำเป็นต้องจัดเก็บหมายเลขโทรศัพท์ (ซึ่งเกี่ยวข้องกับความเป็นส่วนตัว) และการส่ง SMS (ซึ่งต้องเสียค่าใช้จ่ายเพิ่มเติมและอาจไม่รองรับในทุกประเทศทั่วโลก ) ดังนั้นฉันไม่คิดว่าข้อเสนอนี้ควรจะยากในทางเทคนิคหรือมีค่าใช้จ่ายสูงในการดำเนินการ แน่นอนว่าการใช้งานทดสอบและรับรองว่าปลอดภัยจะน่าเบื่อ แต่ฉันไม่คิดว่ามันจะยากในทางเทคนิค ฉันไม่ได้ทำงานกับ Stack Exchange ดังนั้นฉันแค่เดาที่นี่
TOTP ใช้กันอย่างแพร่หลายในปัจจุบันรวมถึง Google, Facebook, Instagram, GitHub และ LinkedIn
หากผู้ใช้ไม่ต้องการใช้แอปตัวตรวจสอบความถูกต้องโดย บริษัท ใหญ่ ๆ ก็มีแอปตัวตรวจสอบสิทธิ์ FOSS TOTP เช่น FreeOTP Authenticator และ andOTP
คำตอบ
ฉันจะไม่เรียก 2FA ง่ายๆเลย สิ่งใดก็ตามที่สัมผัสกับส่วนการตรวจสอบความถูกต้องหลักอาจทำให้เกิดปัญหาด้านความปลอดภัยที่ร้ายแรงได้ดังนั้นแม้ว่าจะเป็นเรื่องง่าย แต่ก็ยังต้องใช้งานอีกมากเพื่อให้แน่ใจว่าปลอดภัย และหนึ่งในปัญหาที่ใหญ่ที่สุดในการใช้ 2FA คือการหากลไกการรีเซ็ตที่ดีเมื่อผู้คนสูญเสียปัจจัยที่สองไปอย่างหลีกเลี่ยงไม่ได้ การรีเซ็ตอีเมลแบบธรรมดาอาจดีพอสำหรับผู้ใช้ทั่วไปและคุณสามารถเพิ่มบทวิจารณ์ด้วยตนเองสำหรับผู้ดูแลได้ตลอดเวลาเนื่องจากมีจำนวน จำกัด
ฉันยังคิดว่า SE ควรใช้ 2FA ฉันอาจพูดได้ไกลว่า SE ต้องใช้สำหรับโมเดอเรเตอร์เนื่องจากสามารถเข้าถึง PII สำหรับผู้ใช้ทุกคนในไซต์ของตนได้ SE มีหน้าที่ในการปกป้องข้อมูลนั้นและรวมถึงการตรวจสอบให้แน่ใจว่าบัญชีผู้ดูแลมีความปลอดภัยอย่างเหมาะสม และพนักงานมีแนวโน้มที่จะเข้าถึงข้อมูลที่ละเอียดอ่อนได้มากขึ้นพวกเขาควรได้รับความปลอดภัยจาก 2FA อย่างแน่นอน
ฉันยอมรับอย่างเต็มที่ว่าคุณไม่สามารถพึ่งพา Google หรือการตรวจสอบสิทธิ์ของบุคคลที่สามสำหรับสิ่งนี้ได้ ฉันได้พิจารณาใช้ Google เป็นเวลาสั้น ๆ ในการตรวจสอบสิทธิ์ในบางที่ที่ไม่มี 2FA ในที่สุดฉันก็พบว่ามันน่ากลัวเกินไปว่าจะมีอำนาจมากแค่ไหนที่จะช่วยให้ Google ล็อกฉันจากบัญชีเหล่านั้นได้ และนี่ไม่ใช่อันตรายที่คาดเดาได้ทั้งหมด Google สามารถล็อกบัญชีของคุณได้หากพวกเขาคิดว่าคุณละเมิดข้อกำหนดในการให้บริการไม่ทางใดก็ทางหนึ่ง
ผมว่าจะเถียงว่าถ้า SE ดำเนิน 2FA พวกเขาควรจะยังขอพิจารณาWebAuthn นี่เป็นมาตรฐานที่ค่อนข้างใหม่ แต่ตอนนี้ได้รับการสนับสนุนอย่างกว้างขวางในเบราว์เซอร์ สิ่งนี้จะช่วยให้สามารถใช้โทเค็นฮาร์ดแวร์ในลักษณะที่กำจัดอันตรายจากฟิชชิงได้อย่างสมบูรณ์และในความคิดของฉันมันสะดวกกว่าที่จะใช้โทเค็นมากกว่า TOTP