ami tudja helyettesíteni a személyi igazolványt, a lakcímkártyát, és az adott személy autójának a forgalmi engedélyét is
Nem kell helyettesíteni az összes okmányt, csak azért írod, hogy jobb színben tüntesd fel az okostelefonbuzi megoldást.
Ennél egyszerűbb a történet: Van Á és B, Állampolgár és Belügyminisztérium. Ha Állampolgár képes igazolni a Belügyminisztérium felé, hogy ő van az eszköz mögött, akkor minden okmányadata megvan.
Kérek egy challenge-response+idő alapú 2. faktort más módon
Egyrészt, a challenge-response csak akkor követelmény, ha egy (pl. TOTP) pre-shared secret bizotnságát nem tudjuk garantálni, márpedig sok esetben tudjuk. Másrészt, a challenge-response működés nem indokolja az Android 10 rendszerkövetleményt. Ujjelnyomatos azonosítás Android 6-tól elérhető. Harmadrészt, bármilyen, okostelefon töredékébe kerülő külön eszköz képes erre, de akár egy számítógép is. Mindenhol az a kérdés, hogy a challenge-re adott megfelelő response-hoz szükséges titkokat hol tároljuk. Ami pontosan ugyanaz a kérdés, mint a TOTP esetében.
Neked és a NER babzsákfejlesztőinek erre az a válasza, hogy jóvanazúgy egy TPM chipben, miközben a kismillió Android-eszköz világában (nem csak Samsung és Apple van a piacon) senki nem garantálja, hogy ott tényleg biztonságban is lesznek és valamilyen side-chain támadással nem szedhetőek ki bármilyen root-ot hackelő malware által, amitől ugye a Play Store a mai napig hemzseg. Nem beszélve arról, hogy egy Android malware a bejelentkezett sessiont ugyanúgy képes hijackelni, a TPM feltúrása nélkül is.
Tovább megyek: Mi akadályoz meg egy már települt malware-t abban, hogy elkapkodja a credential store rendszerhívásokat, és ő is megkapja a privát kulcsokat, mikor bekerülnek a TPM-be (DÁP regisztráció pillanatában)? Semmi.
Szóval ez itt a Single Point of Failure és a Security by obscurity tipikus esete az állam részéről. Éljen a lustaság- és naivitásalapú biztonság! A valódi kétfaktoros autentikációból csináltunk egyfaktorost. Vakon bízol az okostelefonban, miközben más (sok esetben biztonságosabb) felhasználási módokat előszeretettel megfojtasz. Mármint, te csak a véleményeddel, a NER babzsákfejlesztői pedig a tetteikkel is.
Azt meg már csak félve kérdezem meg: Mennyiből állt volna egy kulcstartó/bankkártya méretű, CR2032 elemmel működő 6 számszegmenses LCD kijelzővel rendelkező, TOTP-kódgenerátort összerakni, ami mondjuk képes néha időt szinkronizálni amit egy csomó frekvencián sugároznak? A 2G-alapú gondosóránál is sokkal alacsonyabb komplexitású eszköz lehetett volna. Már ha a biztonság tényleg érdekelné a NER babzsákfejlesztőit, de nem érdekli.