web-dev-qa-db-ja.com

Authy：マルチデバイスモードは、すべてのキーがサーバーに保存されることを意味しますか？

私の理解では、バックアップ/マルチデバイスオプションなしでAuthyを使用する場合、アカウントキーはサーバーに保存されません。それはすべてあなたの単一のデバイスに常駐します。

つまり、Authyサーバーがハッキングされてすべてのデータが侵害され、攻撃者がGmailのパスワードを知っていても、「Google 2FAキー」を知らないため、Gmailアカウントにアクセスすることはできません。

Authyでマルチデバイスモードを使用している場合、これは本当ですか？

彼らのブログ投稿（ http://blog.authy.com/multi-device ）と機能の説明を読んでいるのではないかと思います。複数のデバイスを相互に同期するには、バックエンドサーバーがGmail 2FAキーを認識し、必要に応じてすべてのデバイスに再配布する必要があります。これは、サーバーがハッキングされてデータが侵害された場合、Gmailアカウントも侵害されることを意味します。

私の仮定は正確ですか？ 攻撃者が私のGmailパスワードを知っていて、Authyのサーバー/データベースにもハッキングでき、マルチデバイスオプションを使用している場合、ハッカーは私のG​​mailにアクセスできますアカウント？

authenticationservermulti-factor
9
RvPr

Authyの少なくとも最新バージョンでは、Android GmailのTOTPなどのアプリケーション認証トークンはapi.authy.comバックアップパスワードから派生したAESキーとPBKDF2を使用してランダムに生成されたソルトを使用して暗号化された後のみ。

this source によると、APIから携帯電話に送信される情報の形式は次のとおりです。

 {
 "account_type": "gmail", 
 "encrypted_seed": "UZNL+UPVK+5RYUoBlhkuQzCcOb3nMdYxKGFmHEZ4TMxTX7MOPJUayQAMDVJ", 
 "name": "My Gmail Account", 
 "original_name": "Google:[email protected]", 
 "salt": "N2QqyJrn7cOHBqTY32uY1cL4IHCANm", 
 "unique_id": "0000000000"
 },

言い換えると、Gmail TOTPシークレットシードは、Authyが危険にさらされてデータベースが漏洩した場合でも、Authyで安全でなければなりません。

6
andres.riancho

まず、Authyでは任意のTOTPトークン（Googleオーセンティケーターなど）を使用できますが、独自の2FA方式も提供されていることを覚えておいてください。 Authyの方法では、アカウントプロバイダーは、TOTP標準を実装するだけでなく、Authyを認証メカニズムに統合する必要があります。この方法では、Authyがシードを発行します。これにより、この方法を使用するアカウントの1つにサインインしようとしたときに、それらがプッシュ通知をサポートできるようになります。

したがって、Authyメソッドを使用するマルチデバイスの場合、新しいデバイスを発行するだけなので、シードを共有する必要はありません。しかし、TOTPアカウントの場合、新しいシードを発行することはできません。アカウントプロバイダーがそれを行う必要があります。したがって、彼らの解決策は、あなたの代わりにあなたのバックアップパスワードを暗号化してサーバーに保存することです。

（これは、デバイスを紛失した場合にトークンを回復できるようにするものでもあります。）

ですから、バックアップを有効にしていれば、それらはとにかくそれらを保存していました。それらにそれらのシードを保存させたくない場合は、バックアップとマルチデバイスをオフにすることができますが、Authy over Google Authenticatorを使用する意味は何ですか？ Authyのサーバーが危険にさらされている場合でも、バックアップパスワードを知っているのはあなただけです（これは一意であることが望ましいです）。それはかなり良いシステムIMOです。

1
NReilingh

これについては、 ブログ投稿 を参照してください。どうやら、すべての暗号化と復号化は、クラウド内ではなく、デバイス上で行われます。暗号化されたシードキー、各キーの暗号化に使用される個別のIV、およびバックアップパスワードのハッシュに使用されるソルト（および使用されるハッシュメカニズムに関するその他の情報）は、サーバーに中継されます。ユーザーがバックアップパスワードを忘れた場合、新しいデバイスにインポートされたキーを復号化できません。

0
Chandrakanth Narreddy

ブログの投稿自体から、Google Authenticatorとは異なり、Authyシステムは実際にデバイスごとに新しい個別のキーを生成すると述べています。そのため、それらを格納する必要がある理由は見当たらないので、データベースを危険にさらしている攻撃者はそれらにアクセスできないはずです。

攻撃者がデバイスの1つを侵害した場合、そのデバイスに固有のキーのセットにアクセスできます。これらのキーを取り消すと、アクセスできなくなります。

0
coffeefueled