Pogrešna ikona autentifikatora? Zašto logo ništa ne dokazuje

Sivi kvadrati na mjestu logotipa brenda izgledaju alarmantno, ali oni su pogrešna stvar na koju treba reagovati. Slika koju crta autentifikator je detalj prikaza izveden iz oznaka u zapisu, dok je sigurnosno pitanje pripada li tajna unutar tog zapisa vašem računu. Razdvajanje to dvoje je ono što odvaja kozmetičku popravku od incidenta sa vjerodajnicama. To također zaustavlja popravku koja stvari pogoršava.

Ikona i tajna odgovaraju na različita pitanja

Zapis autentifikatora nastaje iz ključnog URI-ja koji nosi zajedničku tajnu zajedno s oznakom računa i imenom izdavaoca. Aplikacija iscrtava logo iz izdavaoca koji prepoznaje, a nepoznat ili izmijenjen izdavaoc jednostavno daje generičku sliku. Ništa u tom prikazu ne govori ko još ima kopiju tajne, a ništa u ispravnom logu ne govori da je zapis samo vaš. Čitajte prikaz kao nagovještaj o oznaci, ne kao tvrdnju o čuvanju.

Vrijedi i obrnuto, i to je opasniji smjer. Uvjerljiv logo dokazuje još manje od onog koji nedostaje.

Nikada se ne upisujte ponovo da popravite sliku

Popravka koja kruži internetom je ponovno generisanje QR koda, što znači izvoz tajne i provlačenje kroz drugi alat. To pretvara problem prikaza u otkrivanje, jer izvoz sadrži upravo materijal koji je napadaču potreban za stvaranje valjanih kodova. Prijenos u web generator predaje drugi faktor trećoj strani u zamjenu za ljepšu ikonu.

Ako račun još prihvaća kodove, upis je netaknut i prikaz je kozmetički. Provjerite vlastitu dokumentaciju autentifikatora o oznakama izdavaoca i traženju ikona i ostavite zapis na miru. Uređivanje oznake da bi se prisilio logo je promjena zapisa iz razloga koji nema veze s autentifikacijom.

Držite originalnu QR sliku, sirovi ključni URI i svaku ručnu tajnu podalje od tiketa, chat niti, snimaka ekrana i javnih praćenja problema. Snimak ekrana stranice za postavljanje često sadrži više nego što je osoba koja ga je snimila namjeravala.

Kada je tajna zaista otkrivena

Tretirajte otkrivanje kao odvojen incident sa vlastitim odgovorom. Koristite podržani proces zamjene u usluzi da upišete novi autentifikator, potvrdite da novi zapis daje prihvaćene kodove i povucite stari upis na serveru. Brisanje zapisa lokalno ne uklanja registraciju na strani servera, pa otkrivena tajna može nastaviti raditi dok se usluzi ne kaže drugačije. U tom jazu između lokalnog brisanja i stanja servera leži većina rizika.

Redoslijed je ovdje važan. Prvo upišite zamjenu, provjerite je i tek onda uklonite staru, jer će vas većina usluga zaključati ako posljednji faktor nestane. Kodovi za oporavak također pripadaju tom slijedu, jer su oni rezervni put kada telefon nije dostupan.

Provjerite je li ista tajna korištena negdje drugdje. Ključni URI zalijepljen u generator izašao je iz vaše kontrole i račun iza njega treba tretirati kao dijeljen dok se registracija ne zamijeni.

Zahtjevi podršci treba da opišu vizualni problem bez kodova ili materijala za postavljanje. Sve što se tiče računa pripada provjerenom kanalu pružaoca, a ne javnoj niti.

Sačuvajte put oporavka prije brisanja

Prije uklanjanja bilo kojeg radnog zapisa, potvrdite da postoji odobren put oporavka i da ga možete koristiti. Kozmetička popravka koja završi zaključavanjem gori je ishod od pogrešnog loga, a zaključavanja su česta kada je jedini upisani uređaj upravo onaj koji se uređuje.

Uslov prihvatanja je uzak: provjerena veza između računa i autentifikatora, uz materijal za upis koji se čuva privatno. Poznata značka nije dio tog uslova i njeno odsustvo nije dokaz kompromitacije.

Sam format ključnog URI-ja dokumentovan je u specifikaciji ključnog URI-ja Google Authenticatora, što je i podsjetnik da sadržaj nosi tajnu, a ne logo. Pročitajte je prije nego što izvezete bilo šta iz zapisa koji ne možete priuštiti da izgubite.