Bref: je choisirais le jeton matériel.

Version longue: tout d'abord: les gens ont prouvé qu'il est possible de falsifier les empreintes digitales de plusieurs manières. Le moyen le plus courant consiste probablement à le recréer à partir d'une empreinte digitale avec une imprimante, mais il existe plus d'options. Vous pouvez en voir quelques-uns dans l'article 7 façons de battre la biométrie par empreintes digitales. Cependant, il y a beaucoup plus que cela.

Mais aussi les jetons HW se sont avérés "crackables". C'est un peu difficile à dire d'après le peu d'informations dont nous disposons. Cela dépend vraiment du jeton. Le point le plus important dans cette considération (du moins pour moi) est le suivant: si la graine de votre jeton HW est volée, vous pouvez la changer. Au cas où votre empreinte digitale (ou sa représentation numérique) deviendrait accessible au public, vos options sont assez limitées.

Si elle utilise vraiment l'empreinte digitale pour s'authentifier sur le système, cela devrait être votre considération. Mais si cela est utilisé sur votre téléphone, il peut s'agir simplement d'un jeton qui se trouve dans votre téléphone et est sécurisé par le système d'exploitation à l'aide du lecteur d'empreintes digitales pour remplacer le mot de passe. Dans ce cas, votre téléphone est votre jeton matériel, mais il n'a pas de mémoire protégée en lecture appropriée telle que le jeton (devrait avoir). Dans ce cas: je choisirais également le jeton matériel.

L'empreinte digitale ne protège pas directement le jeton (ce n'est pas le cas - à ce jour, nous n'avons aucun moyen fiable de numériser systématiquement une empreinte digitale). Le système d'exploitation chiffre le jeton avec vos informations d'identification. Un appel API dans le système d'exploitation permet aux applications de demander le jeton qui oblige l'utilisateur à se ré-authentifier.

Les risques sur l'application mobile se résument donc à -

• Comment Faites-vous confiance au système d'exploitation de votre appareil?
• (En relation avec ci-dessus) Dans quelle mesure faites-vous confiance au sandboxing de l'appareil pour empêcher les applications de lire l'espace mémoire des autres.
• Dans quelle mesure faites-vous confiance à l'application pour ne pas placer le jeton dans un endroit accessible à d'autres applications?
• Dans quelle mesure faites-vous confiance aux mécanismes d'empreintes digitales pour empêcher le clonage du téléphone / de l'application (Personnellement, je considérerais cela comme proche à zéro).

Vous devez également contrer cela par rapport à quel est le risque? C'est à dire. si l'application était exploitable en masse, la banque couvrirait-elle les pertes? Et êtes-vous une cible à haut risque (par exemple, un milliardaire a probablement un risque d'attaque plus élevé que Joe moyen).

Pour la grande majorité des utilisateurs, je dirais que l'application associée à un mot de passe unique et fort devrait être considéré comme suffisamment sûr. Si l'application était compromise, la banque prendrait probablement le coup et rembourserait les clients.

Un jeton matériel devrait en théorie être plus sécurisé - c'est en fait un système à vide. Pour un système à clé privée / publique, la clé privée ne doit jamais quitter l'appareil. Cependant, il y a eu des problèmes historiques avec les décisions de conception et les implémentations des fabricants.

Aucune option n'est intrinsèquement meilleure que l'autre.

• Le jeton de téléphone est vulnérable aux applications malveillantes sur votre téléphone, mais il peut sécuriser l'ensemble du processus.

• Le jeton matériel est assez invulnérable lui-même, mais la chaîne entière reste généralement non sécurisée contre le phishing, les attaques MiM et les applications malveillantes sur votre PC / navigateur.

Bien que le jeton matériel lui-même soit sécurisé, le problème est qu'il ne vous indique généralement pas le type d'opération que vous autorisez. Il est très facile pour un attaquant d'inciter l'utilisateur à générer OTP pour lui. C'était une attaque assez courante contre les services bancaires sécurisés par jetons matériels il y a quelques années, un trou majeur nécessitait OTP pour la connexion - il était trivial à exploiter en prétendant à tort que la première tentative était erronée. SI le jeton logiciel fournit des informations clés sur l'opération autorisée, ce risque est éliminé.

La question se résume donc plutôt à "quelle partie de la chaîne est la plus facile à sécuriser? " Si vous êtes sûr de la sécurité de votre ordinateur avec navigateur, de sa connexion à la banque et (surtout) de votre vigilance contre le phishing, alors le jeton matériel est meilleur. Si vous n'installez pas d'applications provenant de sources non fiables, le téléphone est probablement plus facile à sécuriser.

Si le jeton mobile fonctionne hors ligne (basé sur des codes de défi-réponse) et que vous pouvez dédier un téléphone qui est définitivement hors ligne après l'activation de l'application de jetons (airgap), c'est de loin la solution la plus sécurisée (bien que la plus lourde).

L'empreinte digitale n'est pas la meilleure en termes de sécurité. Un mot de passe ou un code PIN correctement mis en œuvre serait plus sûr. Mais si les données sont correctement stockées dans l'enclave sécurisée matérielle du téléphone, cela suffit.

Fondamentalement, les deux options peuvent être mises en œuvre correctement ou mal.

Pour cette authentification multi-facteurs, je choisirais l'option d'empreintes digitales, pour la facilité d'utilisation (vous n'avez rien que vous pourriez égarer). Cela suppose que, comme la banque offre les deux, elle pense que les deux offrent une sécurité adéquate et fourniraient une assurance pour une attaque réussie contre l'un ou l'autre. Je ne pense pas qu'une application de lecteur d'empreintes biométrique soit aussi sécurisée qu'un jeton matériel, car il existe des attaques en ligne si le mobile est compromis par exemple. Le jeton matériel devrait vous être volé physiquement pour toute attaque dont je suis au courant (comme une autre réponse l'a souligné, il devrait créer un espace entre Internet et le secret qu'il contient).

Aussi avec l'option d'empreinte digitale, vous avez toujours la possibilité que cela se produise C'est une vieille histoire mais ça me donne encore des frissons.

C'est en fait un choix très facile.

Jeton matériel: vous pouvez le perdre, ou il peut être volé. Mais si cela se produit, il peut être remplacé.

Empreinte digitale: Très peu probable de perdre, peu susceptible d'être volée. Peut être copié sans que vous vous en rendiez compte. Ne peut pas être remplacé.

La sécurité est toujours relative. Aujourd'hui, celui-ci est plus sécurisé, demain quelqu'un découvre une nouvelle attaque contre lui. Mais les faits de base ne changent pas.

Si vous effectuez la totalité ou la quasi-totalité de vos opérations bancaires à domicile, où vous pouvez conserver le jeton matériel en toute sécurité, prenez-le. Si vous en faites beaucoup sur la route ou à partir de divers endroits, la facilité et la commodité de l'empreinte digitale l'emportent. C'est bien à mon humble avis à partir d'un POV de sécurité car avec l'empreinte digitale seule personne ne peut voler votre argent (aurait encore besoin du combo nom d'utilisateur / mot de passe). L'empreinte digitale seule que je ne considère pas comme très sûre.