Suiza presenta autenticación de dos factores con ruido de fondo

Un equipo de expertos en seguridad informática de la Escuela Técnica Superior Suiza de Zúrich ideó un nuevo método de autenticación de dos factores para el usuario que no requiere ninguna acción de este último. El método, llamado Prueba de sonido , se basa en grabar y comparar el ruido de fondo en la habitación donde se encuentra el usuario.

La autenticación de dos factores es una forma común y efectiva de aumentar la seguridad del usuario. Si con la autenticación de un factor es suficiente saber solo el inicio de sesión y la contraseña del usuario para iniciar sesión en su cuenta en cualquier servicio web, entonces la autenticación de dos factores utiliza un canal adicional de comunicación con el usuario para asegurarse de que el atacante no haya tomado la contraseña.

Muy a menudo, el segundo canal es un mensaje SMS con un código secreto único. Como resultado, si un atacante quiere fingir ser otro, tendrá que no solo obtener la contraseña habitual, sino también tener acceso al teléfono de la víctima (físicamente o con la ayuda de cualquier programa troyano).

Pero todo tiene ventajas y desventajas. La desventaja de este enfoque es la necesidad de gestos adicionales para el usuario. Debe desbloquear el teléfono, leer SMS e ingresar correctamente el código recibido en el formulario del navegador, eliminar el mensaje del teléfono. Se proporciona mayor seguridad, como sucede a menudo, debido a inconvenientes.

Como saben, la pereza está impulsando el progreso; por lo tanto, los suizos han ideado una forma de salvar al usuario de problemas innecesarios. Para hacer esto, solo necesita instalar la aplicación correcta en su teléfono inteligente una vez y tener un micrófono en su computadora (generalmente está integrado en las computadoras portátiles).

Cuando intenta ingresar un recurso que admite este método de autenticación, el recurso envía un comando a la aplicación y, en tres segundos, registra el ruido de fondo en el lugar donde se encuentra el usuario. El micrófono de la computadora hace lo mismo. Luego se verifican los ruidos. Si el programa del servidor confirma la identidad de los registros, el usuario inicia sesión con éxito en su cuenta.

Y aquí, por supuesto, hay dificultades. Por ejemplo, los micrófonos en un teléfono inteligente y una computadora pueden variar mucho en calidad. La computadora de escritorio puede no tener un micrófono en absoluto. Un atacante puede iniciar sesión en la cuenta de otra persona mientras está en la misma habitación que el usuario (esto es especialmente importante para interceptar datos de wifi en un café). O puede encender la misma estación de radio o canal de televisión que el usuario.

Además, la carga en el servidor aumenta y la privacidad del usuario disminuye, aunque los desarrolladores afirman que la grabación toma solo 3 segundos, y que no se envía un archivo de audio al servidor, sino una firma digital creada sobre la base. ¿Pero quién verificará esto?

La simplificación de dicha tecnología viene a la mente. ¿Qué sucede si la aplicación no necesita grabar ruido y construir una firma digital a partir de ella utilizando algoritmos complejos? Después de todo, en cambio, puede recibir un conjunto de números del servidor y transmitirlos en forma de señales de audio usando su altavoz al micrófono de la computadora, que descifra la señal y compara estos números con el servidor, es decir, organiza algo así como un módem primitivo.

Source: https://habr.com/ru/post/es382901/