Ein mit Passphrasen verschlüsselter Schlüssel bietet eine Zwei-Faktor-Authentifizierung, jedoch nur bei korrekter Verwendung. Es ist für den Benutzer leicht, den Schlüssel zu missbrauchen, wobei nur ein einziger Faktor angegeben wird, und der Server kann keine falsche Verwendung erkennen. Daher kann ein mit Passphrasen verschlüsselter Schlüssel ohne zusätzliche Annahmen nicht als Zweifaktor betrachtet werden. Aus Sicht des Gesamtsystems bietet der mit Passphrasen verschlüsselte Schlüssel zwei Faktoren, aus Sicht des Servers gibt es jedoch nur einen Faktor, nämlich den privaten Schlüssel.
Das Passwort ist was Sie wissen. Das Kennwort ist jedoch für den Server nicht sichtbar. Der Server weiß nicht, ob Sie ein schwaches oder gar kein Passwort verwendet haben. In jedem Fall ist die Eingabe eines Kennworts auf einem Computer, auf dem möglicherweise ein Keylogger ausgeführt wird, keine gültige Verwendung eines Kennworts zur Authentifizierung.
Die Schlüsseldatei ist das, was Sie haben, aber nur, wenn Sie nicht kopieren es wohl oder übel. Genau genommen ist es der USB-Stick, auf dem die Schlüsseldatei gespeichert ist, ein Authentifizierungsfaktor, den Sie haben. Die Schlüsseldatei selbst ist kein Authentifizierungsfaktor mehr, sobald Sie zulassen, dass sie vom Stick kopiert wird.
In dem von Ihnen beschriebenen Szenario wird der Schlüssel auf einem Computer kopiert, den Sie nicht steuern nicht gültige Verwendung. Es verwandelt das, was Sie haben, in das, was der Angreifer auch hat. Wenn der Angreifer einen Keylogger auf diesem Computer installieren kann, kann er auch ein Programm installieren, das eine Kopie des Inhalts aller darin eingelegten Wechselmedien erstellt. Was Sie haben, muss an ein tatsächliches physisches Objekt gebunden sein, auf das der Angreifer nicht zugreifen kann. Ein Schlüssel, der auf Ihrem eigenen Laptop oder Smartphone gespeichert ist, ist in Ordnung. Eine in einen Smartcard-Steckplatz eingesetzte Smartcard ist in Ordnung (für die normale Verwendung von Smartcards, bei denen die Geheimnisse die Karte nicht verlassen). Ein in einen öffentlichen Computer eingesteckter USB-Stick bietet keinen Authentifizierungsfaktor.
Und ja, es gibt handelsübliche Malware, die den Inhalt von Wechselmedien erfasst. Je nachdem, wo Sie einstecken, ist es möglicherweise mehr oder weniger häufig als Keylogger (obwohl ich erwarten würde, dass die beiden häufig zusammenpassen). Der Angreifer, der einen Wechseldatenträger installiert, befindet sich möglicherweise nach Authentifizierungsdaten oder möglicherweise nach anderen vertraulichen Dokumenten. Es gibt einen Wiederverkaufsmarkt für Unternehmensgeheimnisse (vertrauliche Dokumente, Kontaktlisten usw.), der diese Art von Malware fördert, und das Abrufen von Authentifizierungsdaten ist ein einfacher Nebeneffekt.
Bei einem Benutzer, der möglicherweise seinen USB-Stick einsteckt Halten Sie sich an einen öffentlichen Computer und geben Sie dort sein Kennwort ein. Der mit Passphrasen verschlüsselte Schlüssel bietet keinen Authentifizierungsfaktor.