Wie funktioniert die Zwei-Faktor-Authentifizierung?
user
2FA ist wie mit zwei Schlössern an einer Tür. Das erste Schloss ist ein regelmäßiges Schloss, das Sie mit einem Schlüssel öffnen. Das zweite Schloss ist ein spezielles Schloss, das einen geheimen Code zu öffnen erfordert. Wenn Sie die Tür mit 2FA öffnen möchten, verwenden Sie zuerst den Schlüssel, um das reguläre Schloss zu entsperren. Aber dann, anstatt in der Lage, durch die Tür sofort gehen, müssen Sie den geheimen Code in das spezielle Schloss eingeben. Der Code könnte eine Nummer sein, die Sie sich erinnern oder einen Code, den Sie von einer App auf Ihrem Handy erhalten. Die Idee hinter 2FA ist es schwieriger für jemanden, an einen Ort oder Zugang Informationen, auch wenn sie den Schlüssel oder Passwort haben.
assistant
Können Sie einige Vor- und Nachteile der verschiedenen zwei Faktoren-Authentifizierungsmethoden angeben?
user
Eine häufige Zwei-Faktor-Authentifizierungsmethode ist SMS-Verifikation, die das Senden einer SMS (Text)-Nachricht an eine Handynummer beinhaltet, die mit dem Benutzer verbunden ist, der überprüft wird. Diese Methode hat den Vorteil, dass sie vielen Benutzern vertraut ist, und erfordert nur, dass sie Zugang zu einem Mobiltelefon haben. Jedoch könnte sie Benutzer ausschließen, die nicht in der Lage sind, ein Mobiltelefon zu benutzen. Es ist auch anfällig für Angriffe wie SIM-Jacking. SIM-Jacking ist ein Social-Engineering-Angriff, bei dem Cyber-Kriminelle sozialeengineering gegen eine Telefongesellschaft, um die Handynummer einer Person zu übernehmen, und verwenden Sie dann diesen Zugriff, um Zwei-Faktor-Authentifizierung zu umgehen. SMS-Verifikation kann auch für Organisationen, die große Anwendungen auf einem kleinen Budget, wie SMS-Gateways verlangen Geld für Nachrichten senden. Eine andere Methode ist es, eine Authenticator-App für Zwei-Faktor-Authentifizierung erfordern. Authenticator-Apps speichern einen geheimen Schlüssel mit der Website der Benutzer wird authentifiziert (oft in die App übertragen alsein QR-Code über die Kamera des Telefons), und erzeugen Sie Codes, die im Laufe der Zeit ändern (zeitbasierte Ein-Zeit-Pads, oder TOTP) für den Eintrag in die Anwendung. Authenticator-Apps bieten mehr Sicherheit als SMS-Verifikation, solange das Gerät die App ist nicht beeinträchtigt. Sie vermeiden auch erhebliche zusätzliche Betriebskosten für den Benutzer oder den Anwendungsanbieter, weil Benutzer Free / Open Source Authenticator-Apps verwenden können, und der Ansatz erfordert keine Art von Gateway-Serviceauf der Server-Seite zu implementieren. Auf der Flip-Seite, weniger technisch versierte Benutzer möglicherweise nicht bereit oder in der Lage, eine Authenticator-App zu installieren. Auch, wenn Benutzer wischen oder ersetzen ihr Telefon, ohne darauf zu achten, zunächst eine Authenticator-App auf ihrem neuen Gerät, sie könnten den Zugriff auf ihr Konto verlieren, oder erfordern einen alternativen Prozess, um es zurückzusetzen.kriminell gewinnt sogar temporären Lesezugriff auf eine Kopie der Geheimnisse auf dem Server gespeichert, können sie diese Geheimnisse verwenden, um Zwei-Faktor-Authentifizierung zu umgehen, bis der zweite Faktor Geheimnis des Benutzers zurückgesetzt wird. Eine dritte Option ist, einen U2F-kompatiblen Sicherheitsschlüssel zu benötigen. Dies sind physische Geräte, die mit einem Computer (über USB oder drahtlos über NFC) verbinden und mit öffentlichen Schlüssel Kryptographie zu beweisen, dass der Benutzer Zugriff auf den privaten Schlüssel entsprechend dem öffentlichen Schlüssel auf dem Server. Dies ist dieDie Protokolle haben Maßnahmen, um Phishing auf einer anderen gefälschten Website zu verhindern, um sich an der realen Website anmelden, etwas, das die anderen Methoden anfällig sind. Einige Schlüssel umfassen Mechanismen wie biometrische Kontrollen, um Missbrauch von physischen Schlüsseln zu verhindern. Allerdings sind die meisten U2F-Sicherheitsschlüssel anfällig für einigeUmfang des Missbrauchs nach dem physischen Diebstahl der Schlüssel. Dieser Ansatz hat den Nachteil, dass Benutzer brauchen, um einen U2F-Schlüssel von irgendwo, wenn sie nicht bereits über eine, die Reibung und bringt Kosten Implikationen. Darüber hinaus, Benutzer, die versehentlich verlieren oder zerstören ihren Schlüssel müsste mit einem alternativen Ansatz authentifizieren und erhalten einen anderen Schlüssel.
assistant