Door Erik van Straten: Door Anoniem: Met de noodzakelijkerwijs heel kleine zoekruimte van SMS challenges en geheime modificatie passwords is het vinden van de seed waarmee de gebruiker het resultaat berekende altijd te doen, als je beschikt over de sms challenge en hetgeen de gebruiker invoerde om te authenticeren. Dat risico onderken ik in (D) en (L). Ik kan echter niks bedenken waarmee ik elke burger tegen zichzelf bescherm, wel waarbij verstandige mensen, in hun eigen belang, zelf de risico's kunnen managen (wat niet kan met standaard SMS 2FA). Uh, nee, dat risico onderkende je niet daar. Een aanvaller die beschikt over de SMS challenge verzonden aan de gebruiker, en het door de gebruiker berekende modificatie kan het 'tweede password' reconstrueren voor een (latere) attack. In L praat over je een directe MITM die direct de F(SMS, 2nd Secret) output van de gebruiker gebruikt , en in D praat je over allerlei algemene SMS credential lekkages van een compromised endpoint . In K praat je over een brute ...