Два запыты пароля — яшчэ не MFA: што правярае ўваход у VPN

Старонка ўваходу просіць пароль, потым другі сакрэт, і разгортванне адразу апісваюць як шматфактарнае. Часам так і ёсць. Часта гэта адзін фактар, сабраны двойчы, бо абодва значэнні — веды, якія той самы чалавек набраў з той самай памяці або той самай нататкі. Стойкі шыфр тунеля гэтага не змяняе, і слова «бяспечны» ў назве прадукту таксама.

Аддзяліць заяву ад механізму дазваляе адно пытанне: што даказвае кожны крок і каму?

Фактар — гэта доказ, а не поле

Шматфактарная аўтэнтыфікацыя азначае, што для аднаго ўліковага запісу правяраецца больш чым адзін розны від доказаў: тое, што карыстальнік ведае, тое, чым валодае, тое, чым ён з’яўляецца. Два палі, якія абодва збіраюць запомнены радок, — гэта адзін від доказу, запытаны двойчы. Гэта можа быць карыснай мерай кантролю, бо два незалежныя сакрэты адгадаць цяжэй, чым адзін, але гэта не тое, што апісвае тэрмін, і ў ацэнцы рызык гэта не павінна так лічыцца.

Бок праверкі не менш важны, чым бок збору. Код, згенераваны на прыладзе, даказвае кантроль над гэтай прыладай толькі тады, калі сервер звярае яго з сакрэтам, прывязаным да гэтага ўліковага запісу, і адхіляе паўторы. Супольны код, які працуе для ўсіх, код без абмежавання спроб або запыт, ухвалены на прыладзе, якая ніколі не паказвае, што менавіта ўхваляецца, — усё гэта слабейшае, чым падказвае ярлык.

Таму калі хтосьці пытае, ці мае VPN MFA, запытайце, што даказвае другі крок і як сервер яго прывязвае. Калі адказ — «другі пароль з таго ж каталога», у вас адзін фактар і размова пра палітыку, а не другі фактар.

Выпадак з сертыфікатам трэба чытаць, а не меркаваць

Кліенцкі сертыфікат плюс пароль выглядаюць як два фактары, і гэта можа быць так: сертыфікат захоўваецца ў сховішчы або на токене, а пароль запомніваецца. Гэта можа быць і адзін, калі файл сертыфіката ляжыць без абароны ў тым самым каталозе профілю, што і захаваны пароль, або калі сертыфікат выдадзены прыладзе, якой некалькі чалавек карыстаюцца без індывідуальнай адказнасці.

Пытанне, якое трэба вырашыць, — каго або што ідэнтыфікуе сертыфікат. Сертыфікат прылады даказвае, што кіраваная машына прысутнічае. Сертыфікат карыстальніка даказвае асобу. Калі разгортванне выдае па сертыфікаце на ноўтбук, а потым трактуе яго наяўнасць як доказ асобы, другі фактар ціха стаў уласцівасцю апаратуры, якую ўспадкоўвае кожны, хто трымае гэты ноўтбук.

Нішто з гэтага не робіць сертыфікаты дрэннай ідэяй. Гэта робіць адрозненне паміж гарантыяй прылады і гарантыяй карыстальніка вартым запісу, бо абодва адказваюць на розныя пытанні, а табліца адпаведнасці, якая лічыць іх адным, завысіць тое, што абаронена.

Давер да шлюза і давер да карыстальніка — розныя праблемы

Другі фактар не робіць бяспечным увод уліковых даных у канчатковую кропку, якую вы не праверылі. Кліент мае распазнаць патрэбны шлюз — для гэтага служаць сертыфікат сервера і канфігурацыя даверу кліента. Фішынг працуе, пераносячы ўваход на сервер, які кантралюе атакуючы, і правільны аднаразовы код, уведзены там, проста перадаецца сапраўднаму сэрвісу ў рэальным часе.

Таму выбар метаду змяняе вынік мацней, чым фармулёўка запыту. Коды, якія набірае чалавек, можа перадаць любы, хто здольны паказаць пераканаўчую старонку, тады як крыптаграфічныя метады, што прывязваюць аўтэнтыфікацыю да канкрэтнай крыніцы і сеансу, супрацьстаяць такой перадачы за задумай. Што менавіта ў вас — уласцівасць метаду, а не колькасць крокаў у дыялогу.

Трымайцеся падтрымліванага пастаўшчыком парадку рэгістрацыі і кліенцкага сцэнару, а не прыкручвайце дадатковы запыт да поля пароля. Самаробны другі крок звычайна апыняецца дзесьці пасярэдзіне, дадаючы трэнне без прывязкі, якая робіць фактар асэнсаваным.

Аднаўленне — другія ўваходныя дзверы

У любога надзейнага ўваходу ёсць шлях назад на выпадак страты аўтэнтыфікатара, і менавіта гэты шлях звычайна найслабейшы ў задуме. Калі агент падтрымкі можа скінуць другі фактар пасля званка на нумар з уліковага запісу, найтаннейшы маршрут для атакуючага — служба падтрымкі, а не старонка ўваходу.

Запытайце, як працуе замена, хто яе зацвярджае і якія доказы патрабуюць. Потым праверце, што матэрыял аднаўлення, напрыклад рэзервовыя коды, захоўваецца асобна ад асноўнага ўліковага данага, каб адна кампраметацыя не аддала абодва. Рэкамендацыі NIST па лічбавай ідэнтычнасці разглядаюць прывязку верыфікатара і жыццёвы цыкл аўтэнтыфікатара як частку патрабавання, а не як аперацыйную запозненую думку.

Што напісаць у ацэнцы

Апішыце фактары па відах, назвіце, што даказвае кожны, і пакажыце, як ён прывязаны да ўліковага запісу. Адзначце, ці супрацьстаіць метад перадачы, і апішыце шлях аднаўлення з такой жа стараннасцю, як уваход.

Потым проста скажыце, ці з’яўляецца разгортванне шматфактарным па гэтым вызначэнні. «Два паролі і сертыфікат машыны» — сумленны сказ, і ён паведамляе чытачу куды больш, чым сцяжок, які кажа «так».