Špatná ikona autentikátoru? Proč logo nic nedokazuje

Šedé čtverečky tam, kde má být logo značky, vypadají znepokojivě, ale jsou to špatná věc, na kterou reagovat. Obrázek, který autentikátor kreslí, je detail zobrazení odvozený z popisků v záznamu, zatímco bezpečnostní otázka je, zda tajemství uvnitř tohoto záznamu patří vašemu účtu. Právě oddělení těchto dvou věcí odlišuje kosmetickou opravu od incidentu s přihlašovacími údaji. Také zastavuje opravu, která všechno zhoršuje.

Ikona a tajemství odpovídají na různé otázky

Záznam autentikátoru vzniká z klíčového URI, které nese sdílené tajemství spolu s popiskem účtu a jménem vydavatele. Aplikace vykreslí logo od vydavatele, kterého rozpozná, a neznámý nebo pozměněný vydavatel prostě vytvoří obecný obrázek. Nic v tomto vykreslení vám neříká, kdo další má kopii tajemství, a nic ve správném logu vám neříká, že záznam je jen váš. Čtěte zobrazení jako nápovědu k popisku, ne jako tvrzení o úschově.

Platí to i obráceně a to je nebezpečnější směr. Přesvědčivé logo dokazuje ještě méně než chybějící.

Nikdy se znovu neregistrujte, abyste opravili obrázek

Oprava, která koluje online, je znovu vygenerovat QR kód, což znamená exportovat tajemství a protlačit ho jiným nástrojem. Tím se problém zobrazení mění v prozrazení, protože export obsahuje přesně ten materiál, který útočník potřebuje k vytvoření platných kódů. Nahrání do webového generátoru odevzdá druhý faktor třetí straně výměnou za hezčí ikonu.

Pokud účet kódy stále ověřuje, registrace je v pořádku a zobrazení je kosmetické. Projděte si vlastní dokumentaci autentikátoru k popiskům vydavatele a vyhledávání ikon a záznam nechte být. Úprava popisku, aby se vynutilo logo, je změna záznamu z důvodu, který s autentizací nemá nic společného.

Držte původní QR obrázek, surové klíčové URI a jakékoli ruční tajemství mimo tikety, chaty, snímky obrazovky a veřejné sledovače problémů. Snímek obrazovky stránky nastavení často obsahuje víc, než jeho autor zamýšlel.

Když bylo tajemství skutečně prozrazeno

Berte prozrazení jako samostatný incident s vlastní reakcí. Použijte podporovaný proces nahrazení v dané službě k registraci nového autentikátoru, ověřte, že nový záznam vytváří přijímané kódy, a zrušte starou registraci na serveru. Smazání záznamu lokálně neodstraní registraci na straně serveru, takže prozrazené tajemství může dál fungovat, dokud se službě neřekne jinak. V této mezeře mezi lokálním smazáním a stavem serveru leží většina rizika.

Na pořadí tu záleží. Nejprve zaregistrujte náhradu, ověřte ji a teprve potom odstraňte starou, protože většina služeb vás zamkne, pokud poslední faktor zmizí. Záložní kódy do té posloupnosti také patří, protože jsou záložní cestou, když telefon není k dispozici.

Zkontrolujte, zda stejné tajemství nebylo použito jinde. Klíčové URI vložené do generátoru opustilo vaši kontrolu a účet za ním je třeba brát jako sdílený, dokud nebude registrace nahrazena.

Žádosti na podporu by měly popsat vizuální problém bez kódů nebo materiálů k nastavení. Vše, co se týká účtu, patří do ověřeného kanálu poskytovatele, ne do veřejného vlákna.

Před smazáním si nechte cestu k obnovení

Než odstraníte jakýkoli funkční záznam, ověřte, že existuje schválená cesta k obnovení a že ji můžete použít. Kosmetická oprava, která skončí uzamčením, je horší výsledek než špatné logo, a uzamčení jsou častá, když je jediným registrovaným zařízením právě to, které upravujete.

Podmínka přijetí je úzká: ověřený vztah mezi účtem a autentikátorem, přičemž registrační materiál zůstává v soukromí. Známý odznak do této podmínky nepatří a jeho nepřítomnost není důkazem kompromitace.

Samotný formát klíčového URI je zdokumentován v specifikaci klíčového URI Google Authenticator, což také připomíná, že obsah nese tajemství, a ne logo. Přečtěte si ji, než cokoli exportujete ze záznamu, který si nemůžete dovolit ztratit.