Twee wagwoordversoeke is nie MFA nie: wat 'n VPN-aanmelding verifieer

Die aanmeldbladsy vra om ’n wagwoord en dan om ’n tweede geheim, en die ontplooiing word dadelik as multifaktor beskryf. Soms is dit so. Dikwels is dit ’n enkele faktor wat twee keer ingesamel word, want albei waardes is kennis wat dieselfde persoon uit dieselfde geheue of dieselfde nota getik het. ’n Sterk tonnelsyfer verander dit nie, en die woord “veilig” in die produknaam ook nie.

Om die bewering van die meganisme te skei verg net een vraag: wat bewys elke stap, en teenoor wie?

’n Faktor is ’n bewys, nie ’n veld nie

Multifaktor-verifikasie beteken dat meer as een afsonderlike soort bewys vir dieselfde rekening geverifieer word: iets wat die gebruiker weet, iets wat hy besit, iets wat hy is. Twee velde wat albei ’n onthoude string insamel, is een soort bewys wat twee keer gevra word. Dit kan ’n nuttige beheer wees, want twee onafhanklike geheime is moeiliker om te raai as een, maar dit is nie wat die term beskryf nie en dit moet nie in ’n risiko-assessering as sodanig getel word nie.

Die verifikasiekant is net so belangrik soos die invorderingskant. ’n Kode wat op ’n toestel gegenereer word, bewys slegs beheer oor daardie toestel as die bediener dit teen ’n geheim toets wat aan hierdie rekening gebind is en herhalings verwerp. ’n Gedeelde kode wat vir almal werk, ’n kode sonder ’n tempolimiet of ’n versoek wat op ’n toestel goedgekeur word wat nooit wys wat goedgekeur word nie, is almal swakker as wat die etiket laat blyk.

Dus, wanneer iemand vra of die VPN MFA het, vra wat die tweede stap bewys en hoe die bediener dit bind. As die antwoord ’n tweede wagwoord uit dieselfde gids is, het jy een faktor en ’n beleidsgesprek, nie ’n tweede faktor nie.

Die sertifikaatgeval moet gelees word, nie aangeneem nie

’n Kliëntsertifikaat plus ’n wagwoord lyk soos twee faktore, en dit kan wees: die sertifikaat word in ’n stoor of op ’n token gehou, en die wagwoord word onthou. Dit kan ook een wees, as die sertifikaatlêer onbeskermd in dieselfde profielgids as die gestoorde wagwoord sit, of as die sertifikaat aan ’n toestel uitgereik is wat verskeie mense sonder individuele verantwoordbaarheid deel.

Die vraag om te besleg is wie of wat die sertifikaat identifiseer. ’n Toestelsertifikaat bewys dat ’n bestuurde masjien teenwoordig is. ’n Gebruikersertifikaat bewys ’n identiteit. As die ontplooiing een sertifikaat per skootrekenaar uitreik en dan die teenwoordigheid daarvan as bewys van die persoon behandel, het die tweede faktor stilweg ’n eienskap geword van hardeware wat elkeen wat die skootrekenaar vashou, erf.

Niks daarvan maak sertifikate ’n slegte idee nie. Dit maak die onderskeid tussen toestelversekering en gebruikersversekering die moeite werd om neer te skryf, want die twee beantwoord verskillende vrae en ’n nakomingssigblad wat hulle as een tel, sal oorskat wat beskerm word.

Poortwagvertroue en gebruikersvertroue is aparte probleme

’n Tweede faktor maak dit nie veilig om geloofsbriewe in ’n eindpunt te tik wat jy nie geverifieer het nie. Die kliënt moet die bedoelde poortwag herken, en dit is waarvoor die bedienersertifikaat en die kliënt se vertrouekonfigurasie is. Phishing werk deur die aanmelding te verskuif na ’n bediener wat die aanvaller beheer, en ’n korrekte eenmalige kode wat daar ingevoer word, word bloot in reële tyd aan die werklike diens deurgestuur.

Daarom verander die keuse van metode die uitkoms meer as die bewoording van die versoek. Kodes wat ’n persoon tik, kan deurgestuur word deur elkeen wat ’n oortuigende bladsy kan wys, terwyl kriptografiese metodes wat die verifikasie aan die spesifieke oorsprong en sessie bind, daardie deurstroming volgens ontwerp weerstaan. Watter een jy het, is ’n eienskap van die metode, nie van die aantal stappe in die dialoog nie.

Volg die verskaffer se ondersteunde inskrywing en kliëntvloei eerder as om ’n ekstra versoek op ’n wagwoordveld te skroef. ’n Tuisgemaakte tweede stap beland gewoonlik ergens tussen die twee en voeg wrywing by sonder die binding wat die faktor betekenisvol maak.

Herstel is die tweede voordeur

Elke sterk aanmelding het ’n weg terug wanneer die verifikasiemiddel verloor word, en daardie pad is waar die ontwerp gewoonlik die swakste is. As ’n ondersteuningsagent die tweede faktor kan herstel ná ’n oproep na ’n nommer op rekord, is die aanvaller se goedkoopste roete die hulpdesk, nie die aanmeldbladsy nie.

Vra hoe vervanging werk, wie dit goedkeur en watter bewyse hulle vereis. Kyk dan dat herstelmateriaal soos rugsteunkodes apart van die primêre geloofsbrief gehou word, sodat een kompromie nie albei oorhandig nie. NIST se riglyn vir digitale identiteit behandel verifieerderbinding en die lewensiklus van verifikasiemiddels as deel van die vereiste eerder as ’n operasionele nagedagte.

Wat om in die assessering te skryf

Beskryf die faktore volgens soort, noem wat elkeen bewys en sê hoe dit aan die rekening gebind is. Let op of die metode deurstroming weerstaan, en beskryf die herstelpad met dieselfde sorg as die aanmelding.

Sê dan duidelik of die ontplooiing volgens daardie definisie multifaktor is. “Twee wagwoorde en ’n masjiensertifikaat” is ’n eerlike sin, en dit vertel ’n leser veel meer as ’n merkie wat ja sê.