Abyste to pochopil, musíte vědět, jak MFA funguje, jak funguje OTP/TOTP, FIDO2, jaký je princip ověřovacích tokenů apod.
Když vezmeme v potaz ad absurdum, tak pokud se dostane hacker do vašeho telefonu (stylem úplného přístupu), tak i tak se nedostane do jiných systémů ověřovaných přes android telefon. On totiž nebude mít potřebné fyzické údaje. A čtečky jsou navíc odděleny od hw telefonu.
Je to podobné jako různá dnešní TOTP řešení, která jsou řešena přes sw authentifikátory. V případě Yubikey do toho zasahuje ještě hw token a zvyšuje tak ještě o hodně bezpečnost.
Prolomit zmíněné věci je sakra obtížná věc. Pokud navíc máte telefon, který jedete aktualizovaný, tak to bude sakra hardcore. Samsung s Knox a nebo Apple nepůjdou podle mně prolomit. Aby to šlo, muselo by se jednat o fyzický útok, dlouho plánovaný, protože ukrást telefon nestačí, že. Je třeba znát piny, gesta, přihlašovací údaje a mít navíc ten telefon, aniž by to uživatel nezaregistroval a nestačil ho wipnout na dálku.
Pro vzdáleného útočníka tedy celkem neřešitelný problém.
Je to budoucnost, passwordless řešení jsou potřeba. A nejenom passwordless, ale i loginless.
Zdar Max