Eyni noutbukdakı TOTP həqiqətən ikinci faktor sayılırmı?
VPN noutbukundakı kod generatoru eyni kompromis sərhədinin içində oturan sahiblik faktorudur. Əvvəlcə toxumu və sessiyanı izləyin.
VPN müştərisinə daxil olun ki, əvvəl parol, sonra altı rəqəmli kod soruşur, və iki sorğu iki müstəqil maneə kimi görünür. Faktor növünə görə saysaq, belədirlər: parol bildiyiniz şeydir, kod isə sahib olduğunuz şey. Bir kompromisə uğramış noutbukun nəyi açığa çıxardığına görə saysaq, onlar bir sərhədə çökə bilər, çünki sahib olduğunuz şey yazdığınız maşındakı fayldır. Bu iki sayım arasındakı fərq bu icmalın mövzusudur.
Bir girişi parol sahəsindən kod qutusuna qədər izləyin
Etiketlərə deyil, ardıcıllığa baxın. Müştəri parolu göndərir, server ikinci sübut tələb olunduğunu cavablandırır, müştəri altı və ya səkkiz rəqəm üçün sahə açır. O sahənin arxasında ortaq sirr və saat saxlayan generator tətbiqi durur. O, sirrdən və cari zaman addımından dəyər hesablayır, server isə sirrin öz nüsxəsindən eyni dəyəri yenidən hesablayır.
Hər iki tərəf eyni açar materialını saxlayır. Kodun sirr olduğunu deyəndə insanların qaçırdığı hissə bu simmetriyadır: provayder də sizin kodlarınızı yarada bilər, buna görə toxum hər hansı tək çıxışdan daha dəyərlidir. Sızan kod birdəfəlik dəyərdir; onu yaradan toxum isə dəyişdirilənə qədər etibarlı dəyərlər istehsal edən daimi etimadnamədir.
Aktivləşdirmə axının digər yarısıdır. Cihaz pin-kodu, biometrik sorğu və ya şifrələnmiş konteynerlə açılan generator sahiblik sübutu üstəgəl başqa bir şey təqdim edir. Şifrələnmədən işləyən və əməliyyat sistemi sessiyası ilə açılan biri isə yalnız faylı təqdim edir. Eyni tətbiq qeydiyyatın necə aparıldığından asılı olaraq hər iki quruluşu təklif edə bilər, yəni yerləşdirmə qərarı həmin addımda olur, tətbiqin marketinq səhifəsində deyil.
Kodun əslində nəyi sübut etdiyini müəyyənləşdirin
Standartların dili burada qeyri-adi dərəcədə aydındır və birbaşa oxumağa dəyər. NIST-in kimlik təsdiqi təlimatı proqram əsaslı OTP generatorlarını autentifikator kimi sadalayır, birkaktorlu OTP-ni aktivləşdirmə faktoru olan çoxfaktorlu OTP-dən fərqləndirir və OTP autentifikasiyasının fişinqə davamlı olmadığını bildirir. Bu üç bəndin hər biri sorğu haqqında nə deyə biləcəyinizi dəyişir.
Fişinqə davamlı olmamaq ən kəskin həddir. Sahəyə yazılan kod real vaxtda başqa birinin sahəsinə, buna inandırılmış bir şəxs tərəfindən yazıla bilər. Pəncərə qısadır, bu faydalı cəhdlərin sayını azaldır, amma texnikanı bağlamır. Əgər tələbiniz buna davam etməyi əhatə edirsə, generatorun harada işləməsindən asılı olmayaraq OTP yanlış primitivdir.
Birkaktorlu ilə çoxfaktorlu arasındakı fərq ikinci ayrımdır. Aktivləşdirmə addımı olmadan görünən kod fayla sahibliyi sübut edir və başqa heç nə, fayl isə yalnız onu oxuya bilən hesab qədər güclüdür. Aktivləşdirmə faktoru əlavə etsəniz, iddia yaxşılaşır, baxmayaraq ki, o hələ də girişdə təqdim edilən sübutu təsvir edir, onu istehsal edən maşının təcridini deyil.
Kompromisə uğramış noutbukun nəyə çata bildiyinə baxın
İş stansiyasında kod icrası əldə edən hücumçu yazdığınız sahəni oxumaqla məhdudlaşmır. Uğurlu girişdən sonra qurulan sessiya adətən token və ya kukidir, token isə heç bir kod olmadan başqa maşından istifadə edilə bilər. Əgər müdafiə etdiyiniz qabiliyyət budursa, girişdə ikinci sorğu əlavə etmək hücumdakı addımların sayını dəyişir, nəticəni deyil.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Üçüncü sütunu dürüst olan kimi oxuyun. Yuxarıdakı hər quruluş iş stansiyasının etimad sərhədində nəsə qoyur, çünki sessiya məhz orada istifadə olunur. Dəyişən odur ki, uzunömürlü sirr həmin sərhədlə birlikdə səyahət edir, yoxsa ondan kənarda qalır, və sübut konkret mənşəyə bağlanırmı ki, oxşar səhifə onu ötürə bilməsin.
Daha iki kiçik detal eyni mənzərəyə aiddir. Kod qəbul pəncərəsi boyunca etibarlı qalır, çox vaxt otuz saniyə üstəgəl saat sürüşməsi üçün tolerantlıq, buna görə tutulmuş dəyər yoxlayıcı təkrar istifadəni rədd etməzsə, həmin pəncərə içində təkrar oynadıla bilər. Yeni generator quraşdırmaq isə artıq autentifikasiya olunmuş sessiyaları dayandırmır, yəni köhnə sessiya insidenti məhdudlaşdırmalı olan etimad dəyişikliyindən daha uzun yaşayır.
Generatoru yalnız ayrılıq kömək edən yerə köçürün
Kod generatorunu telefona qoymaq bir konkret nasazlıq üçün real yaxşılaşmadır: oğurlanmış noutbuk artıq hər iki sübutu daşımır. Lakin noutbukda sessiya oğurluğuna heç nə etmir, kodu fişinq səhifəsinə yazan istifadəçiyə heç nə etmir, və bir dəfə çap edilib qeydlər tətbiqinə şəkil çəkilən bərpa kodlarına da heç nə etmir.
Yəni aləti seçməzdən əvvəl tələbi yazın. Məqsəd sızmış parola qarşı əlavə sübutdursa, bunu açıq deyin, eyni cihazdakı tətbiq artıq bunu verir. Məqsəd VPN iş stansiyasının kompromisinə davamlılıqdırsa, həmin hücumçu qabiliyyətini adlandırın və ona görə qiymətləndirilmiş quruluş seçin, fişinq tələbini isə güman etmək əvəzinə ayrıca qeyd edin.
Sonra operativ yarısını həll edin, hansı ki, bunların hər hansı birinin insidentlə təmasda sağ qalıb-qalmadığını müəyyən edir. Cihaz itkisi sənədləşdirilmiş dəyişdirmə yolu tələb edir, etimadın rotasiyası aktiv sessiyaları ləğv etməlidir, qeydiyyat materialı isə toxumla eyni qorumaya ehtiyac duyur, çünki qorunmayan qeydiyyat nüsxəsi hücumçuya gələcək kodları daha qısa yolla verir. Bu dörd bəndi sadalamaq, eyni cihaz tokenlərinin yaxşı və ya dəyərsiz olması barədə mübahisə etməkdən daha faydalıdır.