Newsgroup: it.comp.sicurezza.varie
Titolo: Autenticazione a due fattori e smartphone

Se ho un'autenticazione a due fattori, ad esempio per Gmail, nel caso di furto del mio smartphone, se i ladri  sono conoscenza della user e password di Gmail, possono accedere a quest'ultimo direttamente dallo smartphone.
 
Quindi, nel predetto caso, l'autenticazione a due fattori NON serve a nulla, o forse mi sfugge qualcosa?
 
Lo stesso discorso penso si possa fare anche per gli altri servizi che richiedono l'autenticazione a due fattori.
 
 
Ciao e grazie mille!


Non so se ho capito bene...
 
L'autenticazione a due fattori consiste nel fatto che se qualcuno tenta 
di accedere ad un tuo servizio che ne fa uso, sul tuo cellulare 
(semplifico) compare una richiesta di autorizzazione.
 
Quindi alla base della logica dell'autenticazione a due fattori c'è 
l'accesso al dispositivo, via biometrica o con pin. Si parte dal 
presupposto che il terminale sia bloccato e sbloccabile solo dalla 
persona che lo possiede. Se hai un terminale *open* qualsiasi criterio 
di sicurezza è incosistente.
 
In questo senso, con la pswd di un qualsiasi servizio (es: gmail) è 
comunque necessario accedere alle funzioni del device per fare qualsiasi 
cosa. Quindi sono necessari:
 
- l'accesso al device
- id e pswd di un qualsiasi servizio
 
Con solo uno di questi elementi l'autenticazione a due fattori non può 
funzionare. IMHO se il pin del tuo cell E la pswd del tuo account gmail 
sono pubblici è meglio se molli l'informatica e provi con il giardinaggio.
 
-- 
gio

 Se ho un'autenticazione a due fattori, ad esempio per Gmail, nel caso di furto del mio smartphone, se i ladri sono conoscenza della user e password di Gmail, possono accedere a quest'ultimo direttamente dallo smartphone. 
 
se ti rubano lo smartphone si suppone tu abbia la schermata di blocco attiva, il che ti da almeno il tempo di cambiare la password e/o disconnettere e/o resettare il dispositivo. 


Attualmente ho il pin attivato sia per la sim (all'avvio dello smartphone) che per la schermata di blocco.
 
Nell'ipotesi che i truffatori siano a conoscenza di user e password, ad es. di Gmail, in caso di furto dello smartphone, potrebbero resettarlo con la modalità "Recovery" (
https://www.aranzulla.it/come-resettare-samsung-bloccato-1046074.html
)  e riuscire a bypassare l'accesso?
 
In tal caso, potrebbero installare la app Gmail ed accedere?
 
...chiaramente, però, se sono stato in grado di cambiare la password (come suggerisci), prima del loro accesso, il problema NON si pone.... ma supponi che ho con me solo lo smartphone e sono lontano da casa dove ho il pc dal quale potrei effettuare il cambio password....
 
 
 
Ciao e grazie mille!

 In tal caso, potrebbero installare la app Gmail ed accedere? 
 
Per principio non apro nessun link che contenga la parola aranzulla, ma per
quanto ne so il recovery azzera completamente la memoria e il telefono
ritorna alle impostazioni di fabbrica.
 
Qualcuno potrebbe obiettare che questo azzeramento non è affidabile al 100%
ed esistono tecniche forensiche per recuperare una buona parte dei dati,
dissaldando la flash dal telefono e accedendovi con tools "a basso
livello". Ma stiamo parlando di attrezzature da decine di migliaia di euro,
e comunque se attivi la cifratura nemmeno quelle funzionano.
 
-- 
Fletto i muscoli e sono nel vuoto.


OK, grazie..  ma dopo aver resettato (con modalità Recovery) lo smartphone alle impostazioni di fabbrica, NON possono comunque accedere a quest'ultimo, installare l'app Gmail ed utilizzare la mia user e password che conoscono?
 
 
Ciao

 Nell'ipotesi che i truffatori siano a conoscenza di user e password, ad es. di Gmail, in caso di furto dello smartphone, potrebbero resettarlo con la modalità "Recovery" (
https://www.aranzulla.it/come-resettare-samsung-bloccato-1046074.html
) e riuscire a bypassare l'accesso? 
 
nell'ipotesi che siano a conoscienza del tuo username e password perché dovrebbero scomodarsi di rubarti il telefono? Ne possono usare uno qualsiasi.

 Quindi, nel predetto caso, l'autenticazione a due fattori NON serve a nulla
 
Nel predetto caso. Quanto è probabile il predetto caso?
 
Nessuna autenticazione è in grado di resistere a qualsiasi "predetto caso" (si
arriva agli attacchi Rubber Hose, Godfather e Yakuza).
 
Si tratta di stabilire un compromesso, un qualcosa che renda "improbabile" che
si verifichi il predetto caso.
 
Carpirti la password di GMail non è immediato, e subito dopo prenderti il cell
aumenta l'improbabilità.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(


OK, ma se usano un altro telefono, avendo l'autenticazione a due fattori per Gmail, NON dovrebbero essere bloccati?
 
E sul mio telefono NON dovrei avere un avviso push up da parte di Gmail?
 
In pratica, se ho un pc e un telefono che fa da autenticazione a due fattori, se mi rubano il pc, sono bloccati perchè ho il telefono che fa da autenticazione a due fattori, ma NON è vero il contrario, cioè , se mi rubano il telefono.......forse si potrebbe risolvere il problema con una chiavetta Yubikey 5NFC?
 
https://www.amazon.it/Yubico-YubiKey-USB-autenticazione-Sicurezza/dp/B07HBD71HL/ref=sr_1_1?__mk_it_IT=%C3%85M%C3%85%C5%BD%C3%95%C3%91&crid=22Y24RWHBFYUY&dchild=1&keywords=yubikey+5+nfc&qid=1614903874&sprefix=yubikey%2Caps%2C182&sr=8-1
 
 
..ma sia il telefono che la SIM devono avere la funzione NFC?... chiedo, perchè il mio Samsung A7, ha la funzione NFC, ma la SIM NON è NFC.
 
Ciao e grazie mille!
 

 OK, grazie..  ma dopo aver resettato (con modalità Recovery) lo smartphone alle impostazioni di fabbrica, NON possono comunque accedere a quest'ultimo, installare l'app Gmail ed utilizzare la mia user e password che conoscono?
 
Come ha gia' detto rootkit, allora perche' usare il *tuo* telefono?
Ne basterebbe uno qualunque.

 per Gmail, NON dovrebbero essere bloccati? 
 
Ah, ma quindi tu stavi parlando di due eventi distinti:
 
1) In qualche modo ti rubano i dati dell'account gmail;
2) In qualche altro modo ti rubano il telefono con la SIM dentro.
 
L'autenticazione a due fattori è più sicura per una questione puramente
statistica. Se la probabilità dell'evento 1 è una su un milione, e la
probabilità dell'evento 2 è di una su un milione, e i due eventi sono
indipendenti fra loro, la probabilità che accada 1+2 sarà di una su mille
miliardi.
 
E' ovvio che è inutile preoccuparsi di eventi del genere, altrimenti uno
non uscirebbe più di casa per paura di essere schiacciato da un meteorite.
 
Quello che è importante fare è assicurarsi che gli eventi 1 e 2 non siano
in qualche modo collegati fra loro, come nel caso a cui mi riferivo:
qualcuno ti ruba il telefono (evento 2), ma tu sei stato così poco accorto
da bloccarlo solo con il segno di Zorro, quindi il ladro in dieci minuti
sblocca il telefono, accede a gmail e ottiene automaticamente 1+2.


 ..ma sia il telefono che la SIM devono avere la funzione NFC?... chiedo, perchè il mio Samsung A7, ha la funzione NFC, ma la SIM NON è NFC. 
 
ma che c'entra la sim?

 ma che c'entra la sim?
 
Prima avevo una sim che integrava anche il chip NFC, ma mi sembra di aver capito che se il telefono ha già il chip NFC integrato, la sim NFC, NON è necessaria... chiedevo, nel caso volessi utilizzare come secondo fattore, una chiavetta Yubikey/NFC, da collegare al telefono.
 
 
 
Ciao e grazie mille!
 
 
 
 
 

 sblocca il telefono, accede a gmail e ottiene automaticamente 1+2.
 
E come accede a Gmail senza user e password?... lo potrebbe fare se NON sono uscito dalla sessione di Gmail...
 
 
Ciao e grazie mille

 sono uscito dalla sessione di Gmail... 
 
Immagino che tu abbia un iPhone o uno di quegli Android cinesi senza
servizi google. Se avessi uno smartphone Android "normale", per fare quello
che dici dovresti (1) non avere account google registrati, (2) accedere a
gmail solo da browser (non da app) e (3) inserire a mano la password ogni
volta che accedi.
 
Io personalmente preferisco cifrare tutto, anche perché se perdo un
portatile o uno smartphone (che magari uso per lavoro) sono molto più
preoccupato dai dati che contiene piuttosto che dagli account, che posso in
gran parte revocare da remoto.



OK, grazie mille per i preziosi suggerimenti!
 
 
Ciao

 OK, ma avendo come autenticazione a due fattori la notifica push up di google, se hanno il *mio telefono con sim*, anche se resettato, NON riceveranno su quest'ultimo lo stesso la notifica push up?
 
ma ovviamente no. non c'entra nulla la sim, la notifica arriva su un altro dispositivo che è già loggato su quell'account di google, se esiste ed è acceso. sennò si perde nel cyberspazio.


OK, ti ringrazio... mi stai dando una grossa mano nel chiarire i miei dubbi... per le notifiche "push up" ho aperto un nuovo thread ...
 
Grazie MILLE!
 
Ciao

 OK, ti ringrazio... mi stai dando una grossa mano nel chiarire i miei dubbi... per le notifiche "push up" ho aperto un nuovo thread ... 
 
comunque quelle che arrivano al telefono sono notifiche push. le push up semmai arrivano alle poppe ;-)


OK.. ROTFL :-) :-) ... il mio lapsus è sicuramente dovuto al fatto che le osservo troppo spesso le poppe...  ( * ) ( * ) ... 
 
 
Ciao e grazie MILLE!