Няправільная іконка аўтэнтыфікатара? Чаму лагатып нічога не даказвае
Адсутны лагатып нічога не кажа пра тое, хто валодае вашым другім фактарам. Праверце рэгістрацыю праз уліковы запіс і ніколі не загружайце QR-код, каб выправіць карцінку.
Шэрыя квадраты на месцы лагатыпа брэнда выглядаюць трывожна, але гэта не тое, на што варта рэагаваць. Выява, якую малюе аўтэнтыфікатар, — гэта дэталь адлюстравання, утвораная з подпісаў у запісе, а пытанне бяспекі ў тым, ці належыць сакрэт унутры гэтага запісу вашаму ўліковаму запісу. Менавіта раздзяленне гэтых двух рэчаў адрознівае касметычны рамонт ад інцыдэнту з уліковымі дадзенымі. Яно таксама спыняе рамонт, які робіць усё горш.
Іконка і сакрэт адказваюць на розныя пытанні
Запіс аўтэнтыфікатара ствараецца з ключавага URI, які нясе агульны сакрэт разам з подпісам уліковага запісу і назвай выдаўца. Праграма малюе лагатып выдаўца, якога яна пазнае, а невядомы або зменены выдавец проста дае агульную выяву. Нішто ў гэтым адлюстраванні не кажа, у каго яшчэ ёсць копія сакрэту, і нішто ў правільным лагатыпе не кажа, што запіс належыць толькі вам. Чытайце адлюстраванне як намёк на подпіс, а не як сцвярджэнне пра захоўванне.
Справядліва і адваротнае, і гэта больш небяспечны кірунак. Пераканаўчы лагатып даказвае яшчэ менш, чым адсутны.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Ніколі не перарэгістроўвайцеся, каб выправіць карцінку
Рамонт, які ходзіць па інтэрнэце, — гэта перагенераваць QR-код, а значыць экспартаваць сакрэт і прапусціць яго праз іншы інструмент. Гэта ператварае праблему адлюстравання ў раскрыццё, бо экспарт змяшчае менавіта той матэрыял, які патрэбны зламысніку для стварэння сапраўдных кодаў. Загрузка яго ў вэб-генератар аддае другі фактар трэцяму боку ў абмен на прыгажэйшую іконку.
Калі ўліковы запіс усё яшчэ прымае коды, рэгістрацыя цэлая, а адлюстраванне — касметычнае. Звярніцеся да ўласнай дакументацыі аўтэнтыфікатара пра подпісы выдаўца і пошук іконак і пакіньце запіс у спакоі. Змяненне подпісу, каб прымусіць лагатып, — гэта змена запісу па прычыне, якая не мае нічога агульнага з аўтэнтыфікацыяй.
Трымайце зыходную выяву QR, неапрацаваны ключавы URI і любы ручны сакрэт па-за заяўкамі, чатамі, здымкамі экрана і публічнымі трэкерамі праблем. Здымак экрана старонкі наладкі часта змяшчае больш, чым чакаў той, хто яго зрабіў.
Калі сакрэт сапраўды быў раскрыты
Разглядайце раскрыццё як асобны інцыдэнт з уласным рэагаваннем. Скарыстайцеся падтрыманым працэсам замены ў сэрвісе, каб зарэгістраваць новы аўтэнтыфікатар, пераканайцеся, што новы запіс дае прынятыя коды, і адклічце старую рэгістрацыю на серверы. Лякальнае выдаленне запісу не выдаляе рэгістрацыю на баку сервера, таму раскрыты сакрэт можа працаваць далей, пакуль сэрвісу не паведамяць іншае. Менавіта ў гэтай прорве паміж лякальным выдаленнем і станам сервера і знаходзіцца большасць рызыкі.
Тут важны парадак. Спачатку зарэгіструйце замену, праверце яе і толькі потым прыбірайце старую, бо большасць сэрвісаў замкне вас, калі апошні фактар знікне. Коды аднаўлення таксама належаць да гэтай паслядоўнасці, бо яны — запасны шлях, калі тэлефон недаступны.
Праверце, ці не выкарыстоўваўся той жа сакрэт дзе-небудзь яшчэ. Ключавы URI, устаўлены ў генератар, выйшаў з-пад вашага кантролю, і ўліковы запіс за ім варта лічыць агульным, пакуль рэгістрацыя не заменена.
Запыты ў падтрымку павінны апісваць візуальную праблему, не ўключаючы коды або матэрыялы наладкі. Усё, што датычыцца ўліковага запісу, належыць у правераны канал пастаўшчыка, а не ў публічную галіну.
Захавайце шлях аднаўлення перад выдаленнем
Перш чым выдаляць любы працоўны запіс, пераканайцеся, што існуе ўзгоднены шлях аднаўлення і што вы можаце ім скарыстацца. Касметычны рамонт, які сканчаецца блакіроўкай, — горшы вынік, чым няправільны лагатып, а блакіроўкі частыя, калі адзіная зарэгістраваная прылада — тая, якую рэдагуюць.
Умова прыняцця вузкая: правераная сувязь паміж уліковым запісам і аўтэнтыфікатарам, прычым матэрыялы рэгістрацыі захоўваюцца прыватна. Знаёмы значок не ўваходзіць у гэтую ўмову, і яго адсутнасць не з'яўляецца доказам кампраметацыі.
Сам фармат ключавага URI апісаны ў спецыфікацыі ключавага URI Google Authenticator, што таксама нагадвае: карысная нагрузка змяшчае сакрэт, а не лагатып. Прачытайце яе, перш чым экспартаваць што-небудзь з запісу, які вы не можаце сабе дазволіць страціць.