Je li TOTP na istom laptopu stvarno drugi faktor?
Generator kodova na VPN laptopu je faktor posjedovanja koji stoji unutar iste granice kompromitacije. Prvo pratite sjeme i sesiju.
Prijavite se u VPN klijent koji traži lozinku, a zatim šestocifreni kod, i dva upita izgledaju kao dvije nezavisne barijere. Po vrsti faktora to i jesu: lozinka je nešto što znate, kod je nešto što posjedujete. Po onome što otkriva jedan kompromitovani laptop, oni se mogu svesti na jednu granicu, jer ono što posjedujete je datoteka na mašini u koju kucate. Razlika između ta dva brojanja je tema ovog pregleda.
Pratite jednu prijavu od polja za lozinku do polja za kod
Gledajte slijed, a ne oznake. Klijent šalje lozinku, server odgovara da je potreban drugi dokaz, a klijent otvara polje za šest ili osam cifara. Iza tog polja stoji generatorska aplikacija koja drži zajedničku tajnu i sat. Ona računa vrijednost iz tajne i trenutnog vremenskog koraka, a server ponovo računa istu vrijednost iz svoje kopije tajne.
Obje strane drže isti ključni materijal. Ta simetrija je dio koji ljudi propuštaju kada kod opisuju kao tajnu: provajder može generisati i vaše kodove, zato je sjeme vrijednije od bilo kojeg pojedinačnog izlaza. Kod koji procuri je jednokratna vrijednost; sjeme koje ga je proizvelo je trajna vjerodajnica koja nastavlja proizvoditi važeće vrijednosti dok se ne zamijeni.
Aktivacija je druga polovina toka. Generator koji se otključava PIN-om uređaja, biometrijskim upitom ili šifrovanim kontejnerom predstavlja dokaz posjedovanja plus nešto drugo. Onaj koji radi bez šifrovanja i otključava se sesijom operativnog sistema predstavlja samo datoteku. Ista aplikacija može ponuditi oba aranžmana zavisno od toga kako je upis izveden, pa odluka o postavljanju leži u tom koraku, a ne na marketinškoj stranici aplikacije.
Odredite šta kod zapravo dokazuje
Jezik standarda je ovdje neobično jasan i vrijedi ga čitati direktno. NIST-ove smjernice za autentifikatore navode softverske OTP generatore kao autentifikatore, razlikuju jednofaktorski OTP od višefaktorskog OTP-a s aktivacijskim faktorom i tvrde da OTP autentifikacija nije otporna na phishing. Svaka od te tri odredbe mijenja šta možete tvrditi o upitu.
Neotpornost na phishing je najoštrija ivica. Kod otkucan u polje može se otkucati u tuđe polje, u realnom vremenu, od strane osobe koju su na to nagovorili. Prozor je kratak, što smanjuje broj korisnih pokušaja ali ne zatvara tehniku. Ako vaš zahtjev uključuje otpor na to, OTP je pogrešan primitiv bez obzira gdje generator radi.
Jednofaktorski nasuprot višefaktorskom je druga razlika. Kod koji se pojavi bez aktivacijskog koraka dokazuje posjedovanje datoteke i ništa drugo, a datoteka je jaka koliko i račun koji je može čitati. Dodajte aktivacijski faktor i tvrdnja se poboljšava, iako još opisuje dokaz predstavljen pri prijavi, a ne izolaciju mašine koja ga proizvodi.
Vidite do čega kompromitovani laptop može doći
Napadač s izvršavanjem koda na radnoj stanici nije ograničen na čitanje polja u koje kucate. Sesija uspostavljena nakon uspješne prijave obično je token ili kolačić, a token se može koristiti s druge mašine bez ikakvog koda. Ako je to sposobnost protiv koje se branite, dodavanje drugog upita pri prijavi mijenja broj koraka u napadu, ne ishod.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Čitajte treću kolonu kao iskrenu. Svaki aranžman iznad ostavlja nešto unutar granice povjerenja radne stanice, jer se sesija koristi upravo tamo. Mijenja se da li dugotrajna tajna putuje s tom granicom ili ostaje izvan nje, i da li je dokaz vezan za određeno porijeklo tako da slična stranica ne može da ga proslijedi.
Dva manja detalja pripadaju istoj slici. Kod ostaje važeći tokom svog prozora prihvatanja, često trideset sekundi plus tolerancija na odstupanje sata, pa se uhvaćena vrijednost može ponoviti unutar tog prozora osim ako verifikator odbije ponovnu upotrebu. A instaliranje novog generatora ne prekida sesije koje su već autentifikovane, pa zastarjela sesija nadživi promjenu vjerodajnice koja je trebalo da obuzda incident.
Premjestite generator samo tamo gdje razdvajanje pomaže
Stavljanje generatora kodova na telefon je stvarno poboljšanje za jedan konkretan kvar: ukradeni laptop više ne nosi oba dokaza. Ono ne čini ništa za otmicu sesije na laptopu, ništa za korisnika koji kod otkuca na phishing stranici, i ništa za rezervne kodove koji su jednom odštampani i fotografisani u aplikaciju za bilješke.
Zato napišite zahtjev prije nego što izaberete alat. Ako je cilj dodatni dokaz protiv procurele lozinke, recite to jasno, a aplikacija na istom uređaju to već pruža. Ako je cilj otpornost na kompromitaciju VPN radne stanice, imenujte tu napadačku sposobnost i izaberite aranžman ocijenjen za nju, a zahtjev za phishing navedite odvojeno umjesto da ga pretpostavljate.
Zatim se pozabavite operativnom polovinom, koja odlučuje da li ijedno od toga preživljava susret s incidentom. Gubitak uređaja traži dokumentovan put zamjene, rotacija vjerodajnica traži opoziv aktivnih sesija, a materijal za upis traži istu zaštitu kao sjeme, jer nezaštićena kopija upisa daje napadaču iste buduće kodove kraćim putem. Nabrajanje te četiri stavke korisnije je od rasprave da li su tokeni na istom uređaju dobri ili bezvrijedni.