Hitoshi Kokumai

4年前 · 2 分の読書時間 · ~100 ·

ブログ作成
>
ブログ Hitoshi
>
Advanced Persistent Threats in Digital Identity

Advanced Persistent Threats in Digital Identity

 

wan

 

Ava
Comtiuction
Caml
fares
ES

 

 

 

 

nd

 

Tram porte

 

 

Te]

HE services


You may have heard this disturbing news report - Chinese hacker group caught bypassing 2FA - Chinese state-sponsored group APT20 has been busy hacking government entities and managed service providers.

 We were amazed by the capability of those cyber attack forces, which might possibly be backed up by huge budgets and irresistible means to bribe and threaten the insiders of target organizations.

 Well, we could make meaningful contributions in such areas as (1) preventing the compromise of an OTP token from affecting the overall security of 2F authentication, to (2) preventing the OTP token from getting compromised in the first place and (3) preventing the inside jobs.

 Below are the conclusions that we reached.

1. Our proposition of the simplest 2F authentication could help. 

 We could consider an extremely simple two factor authentication made of a remembered password (what we remember) and a memo/storage with a long password written/stored on (what we possess), which we can use right away at no cost.

 If properly hashed, the resulting high-entropy hashed value can stand fierce brute force attacks. Theft/copy of the memo/storage alone would not affect when the remembered password is unknown to the criminals.

 Furthermore, ‘Image-to-Password Converter cum Entropy Amplifier’ software could be considered for better balance of security and convenience at a higher level when Expanded Password System becomes readily available. The ‘Image-to-Password Converter cum Entropy Amplifier’ software can be offered as a plug-in module either for the server or the user’s device.

 These schemes are closely explained in the "Proposition on How to Build Sustainable Digital Identity Platform" selected as a finalist for ‘FDATA Global Open Finance Summit & Awards 2019’

2. Our proposition of 2-channel authentication could help. 

 With our 2-channel scheme, the onetime code can be recovered and sent to the server only by the legitimate user who retains the secret credential in their brain.

 Further details are provided in this slide “2-Channel Authentication with No Physical Tokens and No SMS” for the specifics.

 It is also referred to as a powerful phishing deterrent in “Targeted/Spear Phishing and Expanded Password System”

 By the way, this 2-channel scheme is not just a concept, but was actually implemented in the real world for corporate use. 

 3.      Our proposition of Authority-Distributed Authentication could help.

 With this scheme, an encryption key gets reproduced by any combination of 3 registered operators and gets eliminated after operation as outlined in this slide “On-the-fly Key Generation from Our Memory”.  It would be extremely hard to quietly bribe or threaten 3 people at a time

 Again, this scheme is not just a concept but the prototype software proved to work.


Conclusion

 We are confident that we could make significant contributions to mitigating these 3 problems of

 preventing the compromise of an OTP token from affecting the overall security of 2F authentication,

 preventing the OTP token from getting compromised in the first place

 and

 preventing the inside jobs.


< Related Articles >

 History, Current Status and Future Scenarios of Expanded Password System

 Removal of Passwords and Its Security Effect

 #identity #authentication #password #security #fintech #finance #banking #biometrics #ethic #privacy #democracy

コメント

Hitoshi Kokumaiの記事

ブログを見る
2年前 · 3 分の読書時間

I today take up this The Register report - “Client-side content scanning as an unworkable, insecure ...

2年前 · 3 分の読書時間

Today's topic is “Microsoft Exchange Autodiscover protocol found leaking hundreds of thousands of cr ...

2年前 · 2 分の読書時間

“Expanded Password System is no bad, but we do not need it. · We can rely on password managers that ...

この職種に興味がある方はこちら

  • サッポロフィールドマーケティング株式会社

    ルートセールス

    次の場所にあります: Whatjobs JP C2 - 1日前


    サッポロフィールドマーケティング株式会社 宗像市, 日本

    【職種名】 · 【MS】しゅふ活躍中扶養範囲内サッポロビールのラウンダー/福岡県福岡県宗像市エリア/2171 · **仕事内容**: · \未経験歓迎サッポロビール100%出資販促企業の当社で一緒に働きませんか?/ · - 未経験OK各種研修制度も用意しています · - 直行直帰OKご自身でスケジュールを組み立てて勤務出来る · - 自分の頑張りがダイレクトにユーザーの反応に繋がるのでやりがいに繋がる · - 仕事内容 · お酒の取り扱いのある店舗様を担当し、サッポロビール商品の販売促進活動を行います。 · また、お店の担当者様とコミュニケーションをとり ...

  • 公開範囲1.等を含む求人情報を公開する

    電気工事士

    次の場所にあります: Talent JP C2 - 1週間前


    公開範囲1.等を含む求人情報を公開する Tohoku, 日本 フルタイム

    仕事内容 · ◇電気工事全般に従事していただきます。 · 1.電気工事は一般住宅、工場、公共施設など · 2.電気通信工事は光通信、LAN配線、CATVなど · 3.消防施設工事は工事と保守点検 · *資格取得支援制度があるので、働きながらスキルアップが可能で · す。 雇用形態 正社員 派遣・請負等 就業形態 派遣・請負ではない 雇用期間 雇用期間の定めなし 就業場所 就業場所 事業所所在地と同じ 〒 青森県上北郡東北町字乙供 最寄り駅 青い森鉄道 乙供駅 最寄り駅から就業場所までの交通手段 ...

  • AKINDO SUSHIRO

    回転寿司みさき 中野2号サンモール北

    次の場所にあります: Talent JP C2 - 1週間前


    AKINDO SUSHIRO Nakano City, 日本

    仕事情報 · ● 仕事内容 ホールは、ご案内、配膳、レジ、補充、片づけ。 · 調理補助は、カンタンな仕込み、盛り付け、お寿司づくりなど。 · 調理未経験の方もご安心ください。まずは軍艦、次は握りと順番 · にひとつずつ覚えていただきます。 · ※ホール・調理補助いずれもお寿司の製造も携わります。 ●回転寿司みさきとは 1932年から続く老舗の会社 京樽が運営している回転寿司です。 · 旬のネタと職人の技をすべての人に届けたい。 · お店で捌き、仕込み、握る、作る。 · より美味しさにこだわったリーズナブルな店を展開しています。 ●接客サービス お客さま ...