طلبا كلمة مرور ليسا MFA: ما الذي يتحقق منه تسجيل الدخول إلى VPN

تطلب صفحة تسجيل الدخول كلمة مرور، ثم سرًا ثانيًا، ويوصف النشر فورًا بأنه متعدد العوامل. أحيانًا يكون كذلك. وغالبًا يكون عاملًا واحدًا جُمع مرتين، لأن القيمتين معرفة كتبها الشخص نفسه من الذاكرة نفسها أو الملاحظة نفسها. لا يغيّر تشفير نفق قوي ذلك، ولا كلمة «آمن» في اسم المنتج.

فصل الادعاء عن الآلية يتطلب سؤالًا واحدًا: ما الذي يثبته كل خطوة، ولمن؟

العامل دليل، وليس حقلًا

تعني المصادقة متعددة العوامل التحقق من أكثر من نوع متميز واحد من الأدلة للحساب نفسه: شيء يعرفه المستخدم، وشيء يملكه، وشيء يكونه. الحقلان اللذان يجمعان معًا سلسلة محفوظة هما نوع واحد من الأدلة يُطلب مرتين. قد يكون ذلك ضابطًا مفيدًا، لأن سرّين مستقلين أصعب في التخمين من سر واحد، لكنه ليس ما يصفه المصطلح ولا ينبغي أن يُحتسب كذلك في تقييم للمخاطر.

جانب التحقق لا يقل أهمية عن جانب الجمع. لا يثبت الرمز المولَّد على جهاز السيطرة على ذلك الجهاز إلا إذا تحقق منه الخادم مقابل سر مرتبط بهذا الحساب ورفض التكرار. الرمز المشترك الذي يعمل للجميع، أو الرمز بلا حد، أو الطلب المعتمد على جهاز لا يعرض أبدًا ما يجري اعتماده، كلها أضعف مما يوحي به التصنيف.

لذلك عندما يسأل أحدهم عما إذا كان الـ VPN يملك MFA، اسأل عما يثبته الخطوة الثانية وكيف يربطه الخادم. إذا كان الجواب «كلمة مرور ثانية من الدليل نفسه»، فلديك عامل واحد ومحادثة عن السياسة، لا عامل ثانٍ.

حالة الشهادة تحتاج إلى قراءة، لا إلى افتراض

تبدو شهادة العميل مع كلمة المرور كعاملين، وقد تكون كذلك: تُحفظ الشهادة في مخزن أو على رمز مميز، وتُحفظ كلمة المرور في الذاكرة. وقد تكون عاملًا واحدًا إذا كان ملف الشهادة غير محمي في دليل الملف الشخصي نفسه الذي تُحفظ فيه كلمة المرور، أو إذا أُصدرت الشهادة لجهاز يتقاسمه عدة أشخاص دون مساءلة فردية.

السؤال الذي يجب حسمه هو من أو ما الذي تحدده الشهادة. شهادة الجهاز تثبت وجود جهاز مُدار. وشهادة المستخدم تثبت هوية. وإذا كان النشر يصدر شهادة لكل حاسوب محمول ثم يعامل وجودها كدليل على الشخص، فقد أصبح العامل الثاني بهدوء خاصية من خصائص العتاد يرثها كل من يحمل الحاسوب.

لا شيء من ذلك يجعل الشهادات فكرة سيئة. إنه يجعل التمييز بين ضمان الجهاز وضمان المستخدم جديرًا بالكتابة، لأن الاثنين يجيبان عن سؤالين مختلفين، وجدول امتثال يعدّهما واحدًا سيبالغ في تقدير ما هو محمي.

الثقة بالبوابة والثقة بالمستخدم مشكلتان منفصلتان

لا يجعل العامل الثاني كتابة بيانات الاعتماد في نقطة نهاية لم تتحقق منها آمنة. على العميل أن يتعرف البوابة المقصودة، ولهذا الغرض توجد شهادة الخادم وإعدادات الثقة في العميل. تعمل التصيد عن طريق نقل تسجيل الدخول إلى خادم يتحكم به المهاجم، والرمز الصحيح لمرة واحدة الذي يُدخل هناك يُمرَّر ببساطة إلى الخدمة الحقيقية في الوقت الفعلي.

لهذا يغيّر اختيار الطريقة النتيجة أكثر مما تفعله صياغة الطلب. الرموز التي يكتبها شخص يمكن أن يمررها أي من يستطيع عرض صفحة مقنعة، أما الطرق التشفيرية التي تربط المصادقة بالأصل المحدد والجلسة فتتقاوم هذا التمرير بحكم تصميمها. وأي النوعين لديك هو خاصية للطريقة، لا لعدد الخطوات في مربع الحوار.

اتبع تدفق التسجيل والعميل المدعوم من المورد بدلًا من تثبيت طلب إضافي على حقل كلمة المرور. الخطوة الثانية المصنوعة منزليًا تهبط عادة في مكان ما بين الاثنين، مضيفة احتكاكًا دون الربط الذي يمنح العامل معناه.

الاستعادة هي الباب الأمامي الثاني

لكل تسجيل دخول قوي طريق للعودة عند فقدان أداة المصادقة، وهذا الطريق هو عادة أضعف نقطة في التصميم. وإذا كان بإمكان وكيل الدعم إعادة تعيين العامل الثاني بعد مكالمة هاتفية إلى رقم مسجل، فإن أرخص مسار للمهاجم هو مكتب المساعدة، لا صفحة تسجيل الدخول.

اسأل كيف تعمل الاستبدال، ومن يوافق عليه، وما الأدلة المطلوبة. ثم تحقق من أن مواد الاستعادة مثل رموز النسخ الاحتياطي تُحفظ منفصلة عن بيانات الاعتماد الأساسية، حتى لا يسلم اختراق واحد كليهما. تعامل إرشادات NIST للهوية الرقمية ربط المُتحقق ودورة حياة أداة المصادقة كجزء من المتطلب، لا كتفكير تشغيلي لاحق.

ما تكتبه في التقييم

صِف العوامل بحسب النوع، وسمِّ ما يثبته كل منها، واذكر كيف يرتبط بالحساب. لاحظ ما إذا كانت الطريقة تقاوم التمرير، وصِف مسار الاستعادة بالعناية نفسها التي تتناول بها تسجيل الدخول.

ثم قل بوضوح ما إذا كان النشر متعدد العوامل وفق ذلك التعريف. «كلمتا مرور وشهادة جهاز» جملة صادقة، وهي تخبر القارئ بأكثر بكثير من مربع اختيار يقول نعم.