Ці сапраўды TOTP на тым жа ноўтбуку — другі фактар?
Генератар кодаў на ноўтбуку з VPN — гэта фактар валодання, які знаходзіцца ўнутры той самай мяжы кампраметацыі. Спачатку прасачыце за насеннем і сесіяй.
Увайдзіце ў кліент VPN, які просіць спачатку пароль, а потым шасцізначны код, і два запыты выглядаюць як дзве незалежныя перашкоды. Па тыпе фактара гэта так і ёсць: пароль — гэта тое, што вы ведаеце, код — тое, чым вы валодаеце. Калі лічыць па тым, што выкрывае адзін скампраметаваны ноўтбук, яны могуць спасціснуцца ў адну мяжу, бо тое, чым вы валодаеце, — гэта файл на машыне, у якую вы ўводзіце. Розніца паміж гэтымі двума падлікамі і ёсць тэма гэтага разбору.
Прасачыце адзін уваход ад поля пароля да поля кода
Сачыце за паслядоўнасцю, а не за назвамі. Кліент адпраўляе пароль, сервер адказвае, што патрабуецца другое пацверджанне, і кліент адкрывае поле для шасці ці васьмі лічбаў. За гэтым полем стаіць праграма-генератар, якая трымае агульны сакрэт і гадзіннік. Яна вылічвае значэнне з сакрэту і бягучага кроку часу, а сервер пералічвае тое ж значэнне са сваёй копіі сакрэту.
Абодва бакі трымаюць аднолькавы ключавы матэрыял. Гэтая сіметрыя — тое, што людзі прапускаюць, калі называюць код сакрэтам: пастаўшчык таксама можа генераваць вашыя коды, і менавіта таму насенне каштоўнейшае за любы асобны вынік. Код, які ўцёк, — гэта аднаразовае значэнне; насенне, якое яго стварыла, — гэта пастаянныя ўліковыя даныя, што працягваюць вырабляць сапраўдныя значэнні, пакуль іх не заменяць.
Актывацыя — другая палова працэсу. Генератар, які разблакоўваецца паролем прылады, біяметрычным запытам або зашыфраваным кантэйнерам, дае доказ валодання плюс нешта яшчэ. Той, што працуе без шыфравання і разблакоўваецца сесіяй аперацыйнай сістэмы, дае толькі файл. Адна і тая ж праграма можа прапанаваць абодва ўпарадкаванні ў залежнасці ад таго, як рабілася рэгістрацыя, таму рашэнне аб разгортванні знаходзіцца ў гэтым кроку, а не на маркетынгавай старонцы праграмы.
Вызначце, што насамрэч даказвае код
Мова стандартаў тут незвычайна ясная, і яе варта чытаць наўпрост. Кіраўніцтва NIST па аўтэнтыфікатарах пералічвае праграмныя генератары OTP як аўтэнтыфікатары, адрознівае аднафактарны OTP ад шматфактарнага OTP з фактарам актывацыі і сцвярджае, што аўтэнтыфікацыя OTP не ўстойлівая да фішынгу. Кожнае з гэтых трох палажэнняў змяняе тое, што вы можаце сцвярджаць пра запыт.
Неўстойлівасць да фішынгу — самая вострая грань. Код, уведзены ў поле, можа быць уведзены ў чужое поле, у рэальным часе, чалавекам, якога пераканалі гэта зрабіць. Акно кароткае, што памяншае колькасць карысных спроб, але не зачыняе тэхніку. Калі ваша патрабаванне ўключае процідзеянне гэтаму, OTP — няправільны прымітыў, незалежна ад таго, дзе працуе генератар.
Аднафактарнасць супраць шматфактарнасці — другое адрозненне. Код, які з'яўляецца без кроку актывацыі, даказвае валоданне файлам і больш нічога, а файл настолькі моцны, наколькі моцны ўліковы запіс, які можа яго чытаць. Дадайце фактар актывацыі — і сцвярджэнне паляпшаецца, хаця яно ўсё яшчэ апісвае доказ, прадстаўлены пры ўваходзе, а не ізаляцыю машыны, якая яго вырабляе.
Паглядзіце, да чаго можа дабрацца скампраметаваны ноўтбук
Зламыснік, які выконвае код на працоўнай станцыі, не абмежаваны чытаннем поля, у якое вы ўводзіце. Сесія, усталяваная пасля паспяховага ўваходу, звычайна ўяўляе сабой токен або кукі, а токен можна выкарыстаць з іншай машыны зусім без кода. Калі менавіта гэтая здольнасць — тое, ад чаго вы абараняецеся, другі запыт пры ўваходзе змяняе колькасць крокаў у атацы, а не вынік.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Чытайце трэці слупок як сумленны. Кожнае ўпарадкаванне вышэй пакідае нешта ў мяжы даверу працоўнай станцыі, бо менавіта там выкарыстоўваецца сесія. Змяняецца тое, ці падарожнічае доўгатэрміновы сакрэт разам з гэтай мяжой, ці застаецца па-за ёй, і ці прывязаны доказ да пэўнага паходжання, каб падобная старонка не магла яго перадаць.
Дзве драбнейшыя дэталі належаць да той самай карціны. Код застаецца сапраўдным на працягу свайго акна прыёму, часта трыццаць секунд плюс дапушчальнае адхіленне гадзінніка, таму перахопленае значэнне можна паўтарыць унутры гэтага акна, калі правяральнік не адмаўляе ў паўторным выкарыстанні. А ўсталяванне новага генератара не спыняе сесіі, якія ўжо прайшлі аўтэнтыфікацыю, таму састарэлая сесія перажывае змену ўліковых даных, якая павінна была стрымаць інцыдэнт.
Пераносьце генератар толькі туды, дзе падзел дапамагае
Размяшчэнне генератара кодаў на тэлефоне — рэальнае паляпшэнне для адной канкрэтнай памылкі: скрадзены ноўтбук больш не нясе абодва доказы. Яно нічога не робіць для захопу сесіі на ноўтбуку, нічога для карыстальніка, які ўводзіць код на фішынгавай старонцы, і нічога для рэзервовых кодаў, якія аднойчы надрукавалі і сфатаграфавалі ў праграму нататак.
Таму напішыце патрабаванне, перш чым выбіраць інструмент. Калі мэта — дадатковы доказ супраць украдзенага пароля, скажыце гэта проста, і праграма на той жа прыладзе ўжо дае яго. Калі мэта — устойлівасць да кампраметацыі працоўнай станцыі VPN, назавіце гэтую здольнасць зламысніка і выберыце ўпарадкаванне, ацэненае для яе, а патрабаванне да фішынгу сфармулюйце асобна, а не мяркуйце.
Затым разбярыцеся з аперацыйнай паловай, якая вырашае, ці перажыве што-небудзь з гэтага сутыкненне з інцыдэнтам. Страта прылады патрабуе дакументаванага шляху замены, ратацыя ўліковых даных патрабуе адклікання актыўных сесій, а матэрыял рэгістрацыі патрабуе такой жа абароны, як і насенне, бо незаабароненая копія рэгістрацыі дае зламысніку тыя ж будучыя коды карацейшым шляхам. Пералічыць гэтыя чатыры пункты карысней, чым спрачацца, ці добрыя токены на той жа прыладзе ці бескарысныя.