多因素与多因素认证

Question

我在大学时被告知，“多因素”和“多因素”是有区别的：

向验证器提出了多个单因素认证器.它们中的每一个都需要一个身份验证者(因此包含一个秘密)。

多因素认证器用于保护一个单独的秘密，该秘密将在认证协议期间提交给验证者。附加因素用于保护身份验证者(秘密)，而不需要自己成为身份验证者。

我很难从安全的角度理解差异和后果。

我是否正确理解，根据上述定义，使用密码(共享密钥1)和硬件密码令牌(RSA令牌)(共享密钥2)的典型电子银行登录过程将是多个单因素身份验证。另一方面，在多因素认证下，我只能想象一个硬件令牌，它需要一个指纹和一个引脚来生成一个一次性密码。对吗？

问:什么更安全，为什么？事实上，多个单一因素使用多个共享秘密比用多个因素保护单个共享秘密更好还是更糟？

Answer 1

您所共享的用于多因素身份验证的定义不符合普遍接受的行业定义。多因素只是指两个或多个因素，通常来自不同类别的认证者，用于身份验证。对于这些因素是否解除对用于进一步身份验证的本地“机密”的访问，还是直接发送到身份验证服务器，并不是具体的。

这两种方案仍然涉及多因素身份验证。就秘密、会话令牌等而言，这些因素解锁的内容不应真正影响它们的名称。

我从来没听过“多因素认证者”这个词。我认为这意味着您的系统使用来自同一类别的两个因素，例如密码和PIN。

多因素身份验证通常比单因素更安全，因为攻击者应该更难破坏多个因素。他们可能能够猜出您的密码，但同时猜测它并获得有效的OTP令牌代码则更加困难。

Answer 2

我已经读过你的问题好几遍了，对我来说，这仍然是个词色拉。我在网上银行工作了20年，这些条款对我来说都是错误的。

条款之所以重要，是因为监管合规(最重要的是，PCI和FDIC )是核心问题。来自FDIC制导：

依赖于多个因素的身份验证方法比单因素方法更难妥协。因此，适当设计和实施多因素认证方法是更可靠和更强的欺诈威慑。例如，登录ID/密码的使用是单因素身份验证(即用户知道的东西)；而ATM事务则需要多因素身份验证:用户拥有的东西(即卡)与用户知道的东西(即PIN)相结合。一种多因素认证方法还可以包括“带外”5项控制措施，以缓解风险。

正如您可以从上面推断的那样，MFA系统通常会从以下两个或多个类别中提取：

• 用户知道的东西(例如密码)
• 用户拥有的东西(例如令牌)
• 用户的特征(如生物特征，如指纹)

我不知道在你的问题中什么是“验证者”。在我看来，验证器是一个验证身份验证请求的系统，但我对您的教授说，验证者是客户或用户。

我不知道“认证者”是什么意思。该术语可以指执行身份验证的系统(例如eBanking服务器)，也可以指提供给最终用户的基于时间的令牌生成器(硬件或软件)(例如RSA fob，或暴雪为玩魔兽世界或观看游戏的人提供的创作人应用程序)。

在任何情况下，认证的意图都不是为了保护一个秘密。身份验证的目的是确定希望使用服务的代理(用户或系统)的身份。

冒着让你困惑的风险，我猜你的教授正在区分同时呈现的MFA和以串联方式呈现的MFA。串联呈现它们具有保护第二个因素不受MITM或重播攻击的优点，因为每次都可能不同。例如，如果一家银行问你密码，然后请你回答一个质疑问题，黑客可能会截取这两个问题的答案，结果发现当他试图使用它们时，挑战问题已经改变，他捕获的信息无法使用。

Answer 3

从上面的描述，听起来你的教授所说的多因素认证器是一个系统，就像信用卡的芯片和PIN终端，用户必须先插入他们的芯片，然后输入他们的PIN。客户端将PIN传递给卡，然后卡使用PIN和存储在芯片内的秘密密钥生成一条密码消息，以传送到银行的主机。银行的主机密码验证正确的PIN是否与芯片一起使用，因此他们对授权将您的钱转移到商店的交易进行身份验证。

多个单因素身份验证器是一个系统，在该系统中，您将看到两个屏幕:输入您的PIN，然后从您口袋中携带的令牌中输入值。或者输入你的密码，然后按下你的拇指在阅读器上。这两个因素在事务的客户端是不相关的；这两个因素都由主机系统独立验证。在独立验证两个身份验证者之前，主机不会验证事务。

您所描述的是，“多因素认证器”芯片和PIN系统中的芯片实际上能够在现场执行单因素身份验证，而不需要主机系统的好处。输入错误的PIN将导致芯片拒绝通信。输入三个错误的PIN和芯片将锁定用户，直到卡被银行重置。因此，仍然有两个独立的认证，PIN到芯片(本地)和芯片到银行(远程)。但是只有一个(盗取密码)可以被攻击者窃取。

主要的区别是芯片是世界银行的本地代表。就像口袋里有个小银行家。你的银行不信任终点站，也不信任你，它只信任他们的小银行家。因此，您与芯片的通信是单因素身份验证( PIN)。芯片使用您的PIN和它的内部秘密在一条消息中对您进行银行身份验证。在这个系统中，银行几乎不需要信任终端。终端甚至可能被破坏:想象一下在一个小偷经营的商店里使用你的芯片卡，他的邪恶终端复制你的密码和你的卡号。但是仅仅知道你的密码和卡号是不足以从你的帐户窃取-银行不会授权的密码和卡号，他们只授权他们的芯片的信息和卡号。你的芯片只会在读者中与银行交谈。把芯片拿出来，它就安全了。

多个单因素认证器将是两个单独的消息。小偷的商店可以偷你的密码，然后偷你输入的号码，这个号码显示在你的令牌上。或者他们可以偷你的密码然后复印你的指纹。然后，攻击者可以重放这些消息，以便在您访问其他主机时验证自己的身份。在这种情况下，所有信任都存在于任何可以拦截两条消息的系统中。

已经有其他商业系统在硬件上将多个单因素认证器转换为多因素认证器。几年前，一家公司销售拇指阅读器/ PIN便携设备，用户进入PIN并将拇指按在屏幕上。注意，虽然可以复制拇指指纹，也可以复制PIN，但设备将PIN和拇指指纹的“哈希”与加密算法(基于嵌入阅读器中的秘密密钥)结合在一起，并向主机发送一条身份验证消息。因此，截取消息的人不能从消息中恢复PIN或拇指指纹。然而，窃贼仍然可以向读者展示假拇指指纹；而读者也可能是盗取拇指指纹和密码的完整图像的伪造者，但这些都是因素的属性，而不是系统的属性。