İki şifrə sorğusu MFA deyil: VPN girişi nəyi yoxlayır

Giriş səhifəsi şifrə, sonra ikinci bir sirr soruşur və quraşdırma dərhal çoxamilli kimi təsvir olunur. Bəzən belədir. Çox vaxt bu, iki dəfə toplanmış bir amildir, çünki hər iki dəyər eyni insanın eyni yaddaşından və ya eyni qeydindən yazdığı bilikdir. Güclü tunel şifrələməsi bunu dəyişmir, məhsul adındakı «təhlükəsiz» sözü də dəyişmir.

İddianı mexanizmdən ayırmaq bir sual tələb edir: hər addım nəyi və kimə sübut edir?

Amil sübutdur, sahə deyil

Çoxamilli autentifikasiya eyni hesab üçün birdən çox fərqli sübut növünün yoxlanıldığını bildirir: istifadəçinin bildiyi bir şey, sahib olduğu bir şey, özü olduğu bir şey. Hər ikisi yadda saxlanılan sətri toplayan iki sahə iki dəfə soruşulan bir sübut növüdür. Bu faydalı nəzarət ola bilər, çünki iki müstəqil sirri təxmin etmək birdən çətindir, lakin terminin təsvir etdiyi bu deyil və risk qiymətləndirməsində belə sayılmamalıdır.

Yoxlama tərəfi toplama tərəfi qədər vacibdir. Cihazda yaradılan kod yalnız server onu bu hesaba bağlanmış sirrlə yoxlayıb təkrarları rədd edərsə, həmin cihaza nəzarəti sübut edir. Hamı üçün işləyən ortaq kod, limitsiz kod və ya nəyin təsdiqləndiyini heç vaxt göstərməyən cihazda təsdiqlənən sorğu etiketin təklif etdiyindən hamısı zəifdir.

Buna görə kimsə VPN-in MFA-sı olub-olmadığını soruşanda, ikinci addımın nəyi sübut etdiyini və serverin onu necə bağladığını soruşun. Cavab «eyni kataloqdan ikinci şifrə» olarsa, bir amiliniz və siyasət söhbətiniz var, ikinci amil yox.

Sertifikat halını fərz etmək deyil, oxumaq lazımdır

Müştəri sertifikatı üstəgəl şifrə iki amil kimi görünür və belə də ola bilər: sertifikat anbarda və ya tokendə saxlanılır, şifrə isə yadda saxlanılır. Bir amil də ola bilər, əgər sertifikat faylı yadda saxlanılan şifrə ilə eyni profil qovluğunda qorunmadan yerləşirsə və ya sertifikat bir neçə insanın fərdi məsuliyyət olmadan paylaşdığı cihaza verilibsə.

Həll edilməli sual sertifikatın kimi və ya nəyi identifikasiya etməsidir. Cihaz sertifikatı idarə olunan maşının mövcud olduğunu sübut edir. İstifadəçi sertifikatı şəxsiyyəti sübut edir. Əgər quraşdırma hər noutbuka bir sertifikat verib, sonra onun mövcudluğunu insanın sübutu kimi qəbul edirsə, ikinci amil səssizcə noutbuku tutan hər kəsin miras aldığı aparat xüsusiyyətinə çevrilib.

Bunların heç biri sertifikatları pis fikir etmir. Bu, cihaz təminatı ilə istifadəçi təminatı arasındakı fərqi yazmağa dəyər edir, çünki ikisi fərqli suallara cavab verir və onları bir sayan uyğunluq cədvəli nəyin qorunduğunu şişirdəcək.

Şlüz etimadı və istifadəçi etimadı ayrı problemlərdir

İkinci amil yoxlamadığınız son nöqtəyə etimad məlumatlarını yazmağı təhlükəsiz etmir. Müştəri nəzərdə tutulan şlüzü tanımalıdır və buna server sertifikatı ilə müştərinin etimad konfiqurasiyası xidmət edir. Fişinq girişi hücumçunun idarə etdiyi serverə köçürməklə işləyir və orada yazılan düzgün birdəfəlik kod real vaxtda olduğu kimi real xidmətə ötürülür.

Buna görə metod seçimi nəticəni sorğunun ifadəsindən daha çox dəyişir. İnsanın yazdığı kodları inandırıcı səhifə göstərə bilən hər kəs ötürə bilər, autentifikasiyanı konkret mənbə və sessiyaya bağlayan kriptoqrafik metodlar isə bu ötürməyə dizaynına görə müqavimət göstərir. Hansının sizdə olduğu metodun xassəsidir, dialoqdakı addımların sayı deyil.

Təchizatçının dəstəklədiyi qeydiyyat və müştəri axınını izləyin, şifrə sahəsinə əlavə sorğu vidalamaq əvəzinə. Evdə hazırlanmış ikinci addım adətən ortada qalır, amili mənalı edən bağlantı olmadan sürtünmə əlavə edir.

Bərpa ikinci giriş qapısıdır

Hər güclü girişin autentifikator itirildikdə geri qayıtma yolu var və məhz bu yol adətən dizaynın ən zəif yeridir. Əgər dəstək agenti hesabda olan nömrəyə zəngdən sonra ikinci amili sıfırlaya bilirsə, hücumçu üçün ən ucuz marşrut giriş səhifəsi deyil, dəstək xidmətidir.

Dəyişdirmənin necə işlədiyini, kimin təsdiqlədiyini və hansı sübutların tələb olunduğunu soruşun. Sonra ehtiyat kodlar kimi bərpa materialının əsas etimad məlumatından ayrı saxlanıldığını yoxlayın ki, bir kompromis ikisini də verməsin. NIST-in rəqəmsal kimlik təlimatı verifikatorun bağlanmasını və autentifikatorun həyat dövrünü tələbin hissəsi kimi qəbul edir, əməliyyat sonrası düşüncə kimi deyil.

Qiymətləndirməyə nə yazmalı

Amilləri növünə görə təsvir edin, hər birinin nəyi sübut etdiyini adlandırın və hesaba necə bağlandığını göstərin. Metodun ötürməyə müqavimət göstərib-göstərmədiyini qeyd edin və bərpa yolunu giriş qədər diqqətlə təsvir edin.

Sonra quraşdırmanın bu tərifə görə çoxamilli olub-olmadığını açıq deyin. «İki şifrə və maşın sertifikatı» dürüst bir cümlədir və oxucuya «bəli» deyən işarədən qat-qat çox şey izah edir.