Две заявки за парола не са MFA: какво проверява входът във VPN

Страницата за вход иска парола, после втора тайна, и внедряването веднага бива описано като многофакторно. Понякога е така. Често това е един фактор, събран два пъти, защото и двете стойности са знание, което същият човек е въвел от същата памет или от същата бележка. Силната шифра на тунела не променя това, нито думата „сигурен“ в името на продукта.

Да се раздели твърдението от механизма изисква един въпрос: какво доказва всяка стъпка и пред кого?

Факторът е доказателство, не поле

Многофакторното удостоверяване означава, че за един и същ акаунт се проверява повече от един различен вид доказателство: нещо, което потребителят знае, нещо, което притежава, нещо, което е. Две полета, които и двете събират запомнен низ, са един вид доказателство, поискан два пъти. Това може да е полезна мярка, тъй като две независими тайни се отгатват по-трудно от една, но не е това, което описва терминът, и не бива да се брои като такова в оценка на риска.

Страната на проверката е също толкова важна, колкото страната на събирането. Код, генериран на устройство, доказва контрол върху това устройство само ако сървърът го проверява срещу тайна, обвързана с този акаунт, и отхвърля повторенията. Споделен код, който работи за всички, код без ограничение на опитите или заявка, одобрена на устройство, което никога не показва какво се одобрява, са всички по-слаби, отколкото етикетът подсказва.

Затова, когато някой пита дали VPN има MFA, попитайте какво доказва втората стъпка и как сървърът я обвързва. Ако отговорът е „втора парола от същия каталог“, имате един фактор и разговор за политиката, а не втори фактор.

Случаят със сертификата трябва да се чете, а не да се предполага

Клиентски сертификат плюс парола изглежда като два фактора и може да е така: сертификатът се пази в хранилище или на токен, а паролата се помни. Може да е и един, ако файлът на сертификата лежи незащитен в същата профилна папка като запазената парола или ако сертификатът е издаден на устройство, което няколко души споделят без индивидуална отговорност.

Въпросът за решаване е кого или какво идентифицира сертификатът. Сертификат на устройство доказва, че има управлявана машина. Потребителски сертификат доказва самоличност. Ако внедряването издава по един сертификат на лаптоп и после третира присъствието му като доказателство за човека, вторият фактор тихо е станал свойство на хардуера, което наследява всеки, който държи лаптопа.

Нищо от това не прави сертификатите лоша идея. Прави разликата между гаранция за устройството и гаранция за потребителя достойна за записване, защото двете отговарят на различни въпроси, а таблица за съответствие, която ги брои като едно, ще надцени какво е защитено.

Доверието към шлюза и доверието към потребителя са отделни проблеми

Вторият фактор не прави безопасно въвеждането на идентификационни данни в крайна точка, която не сте проверили. Клиентът трябва да разпознае предвидения шлюз и за това служат сертификатът на сървъра и конфигурацията за доверие на клиента. Фишингът работи, като премества входа на сървър, контролиран от атакуващия, а правилният еднократен код, въведен там, просто се препраща към истинската услуга в реално време.

Затова изборът на метод променя резултата повече от формулировката на заявката. Кодовете, които човек въвежда, могат да бъдат препратени от всеки, който може да покаже убедителна страница, докато криптографските методи, които обвързват удостоверяването с конкретния източник и сесия, се противопоставят на това препращане по замисъл. Кое от двете имате е свойство на метода, а не на броя стъпки в диалога.

Следвайте поддържания от доставчика ред за регистрация и клиентски поток, вместо да прикрепяте допълнителна заявка към поле за парола. Домашно направената втора стъпка обикновено кацва някъде по средата, добавяйки триене без обвързването, което прави фактора смислен.

Възстановяването е втората входна врата

Всеки силен вход има път назад, когато удостоверителят се загуби, и именно този път обикновено е най-слабото място в дизайна. Ако агент на поддръжката може да нулира втория фактор след обаждане на номер в архива, най-евтиният маршрут за атакуващия е службата за поддръжка, а не страницата за вход.

Попитайте как работи подмяната, кой я одобрява и какви доказателства изискват. После проверете, че материалът за възстановяване, като резервни кодове, се пази отделно от основното идентификационно данно, така че един компромис да не предава и двете. Насоките на NIST за цифрова идентичност разглеждат обвързването на верификатора и жизнения цикъл на удостоверителя като част от изискването, а не като оперативна закъсняла мисъл.

Какво да напишете в оценката

Опишете факторите по вид, назовете какво доказва всеки и посочете как е обвързан с акаунта. Отбележете дали методът се противопоставя на препращането и опишете пътя за възстановяване със същото внимание като входа.

После кажете ясно дали внедряването е многофакторно по това определение. „Две пароли и сертификат на машина“ е честно изречение и казва на читателя много повече от квадратче, което отговаря „да“.