Dva upita za lozinku nisu MFA: što prijava na VPN provjerava

Stranica za prijavu traži lozinku, zatim drugu tajnu, i implementacija se odmah opisuje kao višefaktorska. Ponekad to i jest. Često je to jedan čimbenik prikupljen dvaput, jer su obje vrijednosti znanje koje je ista osoba upisala iz istog pamćenja ili iste bilješke. Jaka šifra tunela to ne mijenja, a ni riječ „sigurno“ u nazivu proizvoda.

Odvojiti tvrdnju od mehanizma traži samo jedno pitanje: što svaki korak dokazuje i kome?

Čimbenik je dokaz, a ne polje

Višefaktorska autentifikacija znači da se za isti račun provjerava više od jedne različite vrste dokaza: nešto što korisnik zna, nešto što posjeduje, nešto što jest. Dva polja koja oba prikupljaju zapamćeni niz jedan su vrsta dokaza zatražena dvaput. To može biti korisna kontrola, jer je dva neovisna tajna teže pogoditi nego jednu, ali to nije ono što pojam opisuje i u procjeni rizika ne bi se tako trebalo računati.

Strana provjere jednako je važna kao strana prikupljanja. Kod generiran na uređaju dokazuje kontrolu nad tim uređajem samo ako ga poslužitelj provjeri prema tajni vezanoj uz ovaj račun i odbije ponavljanja. Zajednički kod koji radi za svakoga, kod bez ograničenja pokušaja ili upit odobren na uređaju koji nikada ne pokazuje što se odobrava slabiji su nego što oznaka sugerira.

Pa kad netko pita ima li VPN MFA, pitajte što drugi korak dokazuje i kako ga poslužitelj veže. Ako je odgovor „druga lozinka iz istog direktorija“, imate jedan čimbenik i razgovor o politici, a ne drugi čimbenik.

Slučaj certifikata treba čitati, a ne pretpostavljati

Klijentski certifikat plus lozinka izgleda kao dva čimbenika, i može biti: certifikat je pohranjen u spremištu ili na tokenu, a lozinka se pamti. Može biti i jedan, ako datoteka certifikata leži nezaštićena u istom profilnom direktoriju kao spremljena lozinka ili ako je certifikat izdan uređaju koji više ljudi dijeli bez pojedinačne odgovornosti.

Pitanje koje treba riješiti jest koga ili što certifikat identificira. Certifikat uređaja dokazuje da je prisutno upravljano računalo. Korisnički certifikat dokazuje identitet. Ako implementacija izdaje jedan certifikat po prijenosnom računalu i zatim njegovu prisutnost tretira kao dokaz osobe, drugi je čimbenik tiho postao svojstvo hardvera koje nasljeđuje svatko tko drži prijenosno računalo.

Ništa od toga ne čini certifikate lošom idejom. Čini razliku između jamstva uređaja i jamstva korisnika vrijednom zapisa, jer oba odgovaraju na različita pitanja, a tablica usklađenosti koja ih broji kao jedno precijenit će što je zaštićeno.

Povjerenje u pristupnik i povjerenje u korisnika odvojeni su problemi

Drugi čimbenik ne čini sigurnim upisivanje vjerodajnica u krajnju točku koju niste provjerili. Klijent mora prepoznati predviđeni pristupnik, a tome služe certifikat poslužitelja i konfiguracija povjerenja klijenta. Phishing radi tako da prijavu premjesti na poslužitelj koji napadač kontrolira, a ispravan jednokratni kod upisan tamo jednostavno se u stvarnom vremenu prosljeđuje pravoj usluzi.

Zato odabir metode mijenja ishod više od formulacije upita. Kodove koje upisuje osoba može proslijediti svatko tko zna pokazati uvjerljivu stranicu, dok kriptografske metode koje autentifikaciju vežu uz konkretno podrijetlo i sesiju tome se odupiru po dizajnu. Koji od toga imate, svojstvo je metode, a ne broja koraka u dijalogu.

Slijedite proizvođačev podržani postupak registracije i tijek klijenta umjesto da na polje za lozinku pričvrstite dodatni upit. Domaći drugi korak obično završi negdje između toga, dodajući trenje bez veze koja čimbeniku daje smisao.

Oporavak su druga prednja vrata

Svaka jaka prijava ima put natrag kad se autentikator izgubi, a taj je put obično najslabije mjesto dizajna. Ako agent podrške može resetirati drugi čimbenik nakon telefonskog poziva na broj u evidenciji, najjeftinija ruta napadača je služba za korisnike, a ne stranica za prijavu.

Pitajte kako zamjena funkcionira, tko je odobrava i koje dokaze traže. Zatim provjerite da se materijal za oporavak, poput rezervnih kodova, čuva odvojeno od primarne vjerodajnice, kako jedan kompromis ne bi predao oboje. NIST-ove smjernice za digitalni identitet tretiraju vezanje verifikatora i životni ciklus autentikatora kao dio zahtjeva, a ne kao operativnu naknadnu misao.

Što napisati u procjeni

Opišite čimbenike po vrsti, navedite što svaki dokazuje i navedite kako je vezan uz račun. Zabilježite odupire li se metoda prosljeđivanju i opišite put oporavka s istom pažnjom kao prijavu.

Zatim jasno recite je li implementacija višefaktorska prema toj definiciji. „Dvije lozinke i certifikat stroja“ poštena je rečenica i čitatelju govori mnogo više od kućice koja kaže da.