Грешна икона на удостоверителя? Защо логото не доказва нищо
Липсващото лого не казва нищо за това кой държи втория ви фактор. Проверете регистрацията през акаунта и никога не качвайте QR кода, за да поправите картинка.
Сиви квадратчета на мястото на марково лого изглеждат тревожно, но те са грешното нещо, на което да реагирате. Изображението, което рисува удостоверителят, е детайл от изгледа, извлечен от етикетите в записа, докато въпросът за сигурността е дали тайната в този запис принадлежи на вашия акаунт. Разделянето на тези две неща е това, което отличава козметичната поправка от инцидент с идентификационни данни. То също така спира поправката, която влошава нещата.
Иконата и тайната отговарят на различни въпроси
Записът в удостоверителя се създава от ключов URI, който носи споделена тайна заедно с етикет на акаунта и име на издател. Приложението изчертава лого от издателя, който разпознава, а неразпознат или променен издател просто дава общо изображение. Нищо в това изчертаване не ви казва кой друг има копие от тайната, и нищо в правилното лого не ви казва, че записът е само ваш. Четете изгледа като подсказка за етикет, а не като твърдение за съхранението.
Обратното също е вярно и това е по-опасната посока. Убедителното лого доказва още по-малко от липсващото.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Никога не се регистрирайте наново, за да поправите картинка
Поправката, която се разпространява онлайн, е да се генерира наново QR кодът, което означава да се изнесе тайната и да се прекара през друг инструмент. Това превръща проблем с изгледа в разкриване, защото изнесеното съдържа точно материала, който нападателят се нуждае, за да създаде валидни кодове. Качването му в уеб генератор предава втория фактор на трета страна в замяна на по-хубава икона.
Ако акаунтът все още приема кодовете, регистрацията е непокътната и изгледът е козметичен. Направете справка със собствената документация на удостоверителя за етикети на издател и търсене на икони и оставете записа на мира. Редактирането на етикета, за да се наложи лого, е промяна на записа по причина, която няма нищо общо с удостоверяването.
Пазете оригиналното QR изображение, суровия ключов URI и всяка ръчна тайна извън заявки, чатове, екранни снимки и публични тракери за проблеми. Екранната снимка на страница за настройка често съдържа повече, отколкото човекът, който я е направил, е възнамерявал.
Когато тайната действително е била разкрита
Третирайте разкриването като отделен инцидент със собствен отговор. Използвайте поддържания процес за замяна на услугата, за да регистрирате нов удостоверител, потвърдете, че новият запис дава приети кодове, и оттеглете старата регистрация на сървъра. Изтриването на записа локално не премахва регистрацията от страната на сървъра, така че разкритата тайна може да продължи да работи, докато услугата не бъде уведомена за друго. Именно в тази разлика между локалното изтриване и състоянието на сървъра се крие по-голямата част от риска.
Редът има значение тук. Регистрирайте замяната първо, проверете я и едва след това премахнете старата, защото повечето услуги ще ви заключат, ако последният фактор изчезне. Кодовете за възстановяване също принадлежат към тази последователност, тъй като те са резервният път, когато телефонът не е наличен.
Проверете дали същата тайна не е била използвана другаде. Ключов URI, поставен в генератор, е напуснал вашия контрол и акаунтът зад него трябва да се третира като споделен, докато регистрацията не бъде заменена.
Заявките до поддръжката трябва да описват визуалния проблем, без да включват кодове или материали за настройка. Всичко, свързано с акаунта, принадлежи в проверения канал на доставчика, а не в публична тема.
Пазете път за възстановяване преди изтриване
Преди да премахнете който и да е работещ запис, потвърдете, че съществува одобрен път за възстановяване и че можете да го използвате. Козметична поправка, която завършва със заключване, е по-лош резултат от грешното лого, а заключванията са чести, когато единственото регистрирано устройство е това, което се редактира.
Условието за приемане е тясно: проверена връзка между акаунта и удостоверителя, като материалите за регистрация се пазят поверително. Познатата значка не е част от това условие и нейната липса не е доказателство за компрометиране.
Самият формат на ключовия URI е документиран в спецификацията за ключов URI на Google Authenticator, което също напомня, че полезният товар съдържа тайна, а не лого. Прочетете я, преди да изнесете нещо от запис, който не можете да си позволите да загубите.