La Suisse propose une authentification à deux facteurs utilisant le bruit de fond

Une équipe d'experts en sécurité informatique de l'Ecole supérieure technique de Zurich a mis au point une nouvelle méthode d' authentification à deux facteurs pour l'utilisateur qui ne nécessite aucune action de ce dernier. La méthode, appelée Sound-Proof , est basée sur l'enregistrement et la comparaison du bruit de fond dans la pièce où se trouve l'utilisateur.

L'authentification à deux facteurs est un moyen courant et efficace d'augmenter la sécurité des utilisateurs. Si avec l'authentification à un facteur, il suffit de connaître uniquement le nom d'utilisateur et le mot de passe de l'utilisateur pour se connecter à son compte dans n'importe quel service Web, alors l'authentification à deux facteurs utilise un canal de communication supplémentaire avec l'utilisateur pour s'assurer que le mot de passe n'a pas été pris par l'attaquant.

Le plus souvent, le deuxième canal est un SMS avec un code secret unique. Par conséquent, si un attaquant veut se faire passer pour un autre, il devra non seulement obtenir le mot de passe habituel, mais également accéder au téléphone de la victime (physiquement ou à l'aide de programmes de Troie).

Mais tout a des avantages et des inconvénients. L'inconvénient de cette approche est la nécessité de gestes supplémentaires pour l'utilisateur. Vous devez déverrouiller le téléphone, lire les SMS et saisir correctement le code reçu dans le formulaire du navigateur, supprimer le message du téléphone. Une sécurité accrue, comme cela arrive souvent, est fournie en raison de désagréments.

Comme vous le savez, la paresse est le moteur du progrès - par conséquent, les Suisses ont trouvé un moyen de sauver l'utilisateur de problèmes inutiles. Pour ce faire, il suffit d'installer une fois la bonne application sur son smartphone et d'avoir un microphone dans son ordinateur (il est généralement intégré aux ordinateurs portables).

Lorsque vous essayez d'entrer une ressource qui prend en charge cette méthode d'authentification, la ressource envoie une commande à l'application et, dans les trois secondes, elle enregistre le bruit de fond à l'endroit où se trouvait l'utilisateur. Le microphone d'ordinateur fait de même. Ensuite, les bruits sont vérifiés. Si le programme serveur confirme l'identité des enregistrements, l'utilisateur se connecte avec succès à son compte.

Et ici, bien sûr, il y a des difficultés. Par exemple, la qualité des microphones d'un smartphone et d'un ordinateur peut varier considérablement. L'ordinateur de bureau peut ne pas avoir de microphone du tout. Un attaquant peut se connecter au compte d'une autre personne dans la même pièce que l'utilisateur (ceci est particulièrement important pour intercepter des données Wi-Fi dans un café). Ou il peut activer la même station de radio ou chaîne de télévision que l'utilisateur.

De plus, la charge sur le serveur augmente et la confidentialité des utilisateurs diminue - bien que les développeurs prétendent que l'enregistrement ne prend que 3 secondes, et non pas un fichier audio est envoyé au serveur, mais une signature numérique créée sur sa base. Mais qui va vérifier cela?

La simplification d'une telle technologie vient à l'esprit. Que se passe-t-il si l'application n'a pas besoin d'enregistrer le bruit et d'en créer une signature numérique à l'aide d'algorithmes complexes? En effet, au lieu de cela, il peut recevoir un ensemble de nombres du serveur et les transmettre sous forme de signaux audio en utilisant son haut-parleur au microphone d'un ordinateur qui déchiffre le signal et compare ces nombres avec le serveur - c'est-à-dire, organiser quelque chose comme un modem primitif.

Source: https://habr.com/ru/post/fr382901/